Plex 漏洞链遭在野利用，CISA 列入 KEV

研究人员称，Plex Media Server 上月修复的漏洞正被在野利用，攻击者将四个漏洞串联成“Plex2Shell”漏洞链，在满足所需条件时无需有效凭据即可在服务器上执行任意代码。首次确认的在野活动出现在 10 月 17 日，一名研究人员在监控存在漏洞的 Plex 蜜罐时报告了利用行为。攻击成功后，设备被植入基于 XMRig 的加密货币挖矿程序和名为 myawesomeproxy 的代理软件。 CISA 已将其中“网页编码 URI 方案中和不当”漏洞列入已知被利用漏洞目录，并称该漏洞可与 CVE-2026-96652、-96655、-96656 串联利用。Plex 上月修复了四个漏洞，三周后公布的 CVE 编号显示共有五个漏洞，其中一个严重性评分为 8.6（满分 10）。受影响范围包括 NAS 设备、虚拟机和 Docker 容器中的安装。 研究者 ChrisLPJones 公开只读检测脚本 plex2shell-check，用于排查 1.43.3.10861 之前版本中的该漏洞链（CVE-2026-96652、-96654、-96655、-96656），脚本仅覆盖 Linux；其建议先升级至 1.43.3.10861 或更高版本再启动 Plex。另有项目 plex2shell-windows-hunt 发布针对同一漏洞链的只读排查脚本与 IOC 清单，覆盖 Windows 与 Linux，需在 Plex 主机上以管理员权限的 PowerShell 运行，其称已于 10 月 21 日在 PMS 1.43.5.11029（Windows 11、PowerShell 5.1）上实测。

AI 根据报道生成 · 1 天前更新

1. 10月21日 23:09 · 1 篇报道
   发布Plex2Shell漏洞链检测脚本与IOC档案
   Sploitus 利用聚合：Plex Media Server 四个漏洞链式免认证 RCE 的排查脚本与 IOC 清单
2. 10月20日 11:53 · 1 篇报道
   发布 Plex2Shell 只读检测脚本
   Sploitus 利用聚合：Plex2Shell 检测脚本发布，覆盖 Plex Media Server 1.43.3.10861 之前的免认证 RCE 链
3. 10月20日 02:43 · 2 篇报道
   Plex 漏洞链遭在野利用植入恶意软件
   Ars Technica 安全：Plex Media Server 已修复漏洞遭在野利用，攻击者串联四个漏洞实现 RCE 并植入恶意软件
4. 10月20日 00:00 · 1 篇报道
   CISA将Plex Media Server漏洞列入KEV
   CISA 已知被利用漏洞目录 (KEV)：Plex Media Server 网页编码 URI 方案中和不当漏洞可串联其他 CVE

还没有足够的连续观测数据，暂不绘制趋势。

• 相关事件CISA将Plex SSRF漏洞列入KEV，PoC已公开