Het Amerikaanse Cybersecurity and Infrastructure Security Agency (CISA) heeft dinsdag vier kwetsbaarheden toegevoegd aan zijn Known Exploited Vulnerabilities (KEV)-catalogus, waaronder vier kwetsbaarheden in Plex Media Server die gezamenlijk bekendstaan als Plex2Shell.
De kwetsbaarheden zijn hieronder opgesomd:
- CVE-2026-96652 (CVSS-score: 5.3) – Plex Media Server Server-Side Request Forgery (SSRF) kwetsbaarheid
- CVE-2026-96654 (CVSS-score: 6.9) – Plex Media Server onjuiste neutralisatie van gecodeerde URI-schema’s in een webpagina kwetsbaarheid
- CVE-2026-96655 (CVSS-score: 5.3) – Plex Media Server Server-Side Request Forgery (SSRF) kwetsbaarheid
- CVE-2026-96656 (CVSS-score: 8.6) – Plex Media Server externe controle over bestandsnaam of pad kwetsbaarheid
Volgens beveiligingsonderzoeker Zach Main, die de kwetsbaarheden ontdekte en rapporteerde, kan een aanvaller op afstand de vier kwetsbaarheden aan elkaar schakelen om niet-geauthenticeerde remote code execution te bereiken. De problemen zijn verholpen in Plex Media Server 1.43.3.10861, uitgebracht op 3 augustus 2026.
De toevoeging van de vier kwetsbaarheden aan de KEV-catalogus volgt op een rapport van beveiligingsonderzoeker boredhackerblog, die ontdekte dat dreigingsactoren de fouten weaponizen om cryptocurrency-miners en proxy-malware te verspreiden.
CISA heeft ook twee andere kwetsbaarheden gemarkeerd als actief misbruikt. Eén daarvan is een DLL-sideloading-kwetsbaarheid in Siemens Software Center (CVE-2026-110936, CVSS-score: 8.4) die is misbruikt in ClickFix-aanvallen met een platform genaamd Romulus.
De tweede beveiligingsfout is een commandoinjectie-bug in EG Secure Solutions SiteGuard Server Edition (CVE-2026-106931, CVSS-score: 8.5) die het Japanse bedrijf heeft bevestigd als zijnde misbruikt. Er zijn momenteel geen aanvullende details over de exploitatie beschikbaar.
CISA dringt er bij Federal Civilian Executive Branch (FCEB)-instanties op aan om patches voor CVE-2026-106931, CVE-2026-96656 en CVE-2026-96654 toe te passen vóór 23 oktober 2026, en de overige patches vóór 3 november 2026.
