Plex, 1.43.3'ün altındaki ve internete açık sunucuların yöneticilerine ihlal varsayması söyledi

Yamalama duyurusundan triyaj rehberine dönüşen bir bildirim

Plex, 1.43.3.10861'den eski bir sürüm çalışan ve internetten erişilebilen her sunucunun potansiyel olarak ele geçirilmiş sayılması gerektiğini yöneticilere bildiren alışılmadık bir adım attı. dev.to'da yayımlanan bir rehbere göre, üreticinin bu tek cümlesi işi güncelleme uygulamaktan bir hostu araştırmaya kaydırıyor.

Aciliyet gerçek. Düzeltilen sürüm, kimlik doğrulaması olmadan uzaktan kod yürütmeyle sonuçlanan dört zafiyeti kapatıyor. 16 Ekim 2026'da halka açık bir kavram kanıtı ortaya çıktı ve Plex, o tarihten beri yamalanmamış internete açık sunuculara yönelik yaygın saldırılar rapor ediyor; ele geçirilen makineler kripto para madenciliği ve proxy düğümü olarak kullanılacak şekilde yeniden amaçlandırılıyor.

Zincir nasıl çalışıyor

dev.to yazısında anlatıldığı gibi, dört CVE birbirine ustaca oturuyor:

• CVE-2026-96652, player timeline üzerinden kimlik doğrulaması gerektirmeyen bir server-side request forgery sunuyor.
• CVE-2026-96654, bunu kullanarak loopback üzerinden dahili agent fonksiyonlarına erişiyor.
• CVE-2026-96655, sahibinin admin token'ını açığa çıkarıyor.
• CVE-2026-96656, servisin başlangıçta yürüttüğü dosyalar yazıyor.

Son halka, tespiti mümkün kılan şey. Payload, Plex Codecs klasörünün içinde shared object veya DLL dosyaları olarak konumlanıyor; sunucu bu dizinden başlangıçta imzaları, execute bitlerini veya sembolleri kontrol etmeden yüklüyor. Dizi varsayılan olarak temiz bir log satırı bırakmadığından, üretici yöneticileri tek bir şüpheli istek yerine host üzerindeki artefaktlara yönlendiriyor.

Bir sunucunun vurulup vurulmadığını kontrol etmek

İlk adım sürümü belirlemek. Plex Web'de Ayarlar, ardından General, sürümü gösterir; 1.43.3.10861'in altındaki her şey zincirin kapsamına girer. NAS paketleri genellikle geride kalır — Plex, QNAP gibi mağazaların güncellemeyi hemen sunmayabileceğini ve manuel kurulum gerekebileceğini belirtiyor. Plex Desktop 1.115.0, sunucudan ayrı bir sürümdür.

Host üzerinde, üç kontrol danışma belgesinin büyük kısmını kapsar:

• Plex Media Server tarafından başlatılan ve kimsenin tanımadığı süreçleri arayın. Plex, sahada gözlenen adlar olarak myawesomeproxy, mylovelyminer ve x12345 örnek veriyor, ancak liste tam değil; bu yüzden açıklanamayan her child process incelemeyi hak eder.
• Codecs klasöründe, CVE-2026-96656 için bırakma konumu olan, tanıdık olmayan .so veya .dll dosyalarını inceleyin. Herhangi bir şeyi kaldırmadan önce hash'leri ve zaman damgalarını kaydedin.
• Proxy rolüne işaret eden proxystream.st'ye giden giden bağlantıları ve hiçbir şey aktarılırken sürmeyen ancak madenciye işaret eden sürekli yüksek CPU kullanımını kontrol edin.

Yapılandırma sapması da önemli. CVE-2026-96656'daki yazma primi, TranscoderH264Options tercihinin her transcode işleminde x264 seçenek dizgisine aynen eklenmesi sayesinde çalışıyor. Yöneticinin hiç ayarlamadığı Preferences.xml içindeki bir değer bu yüzden yetkisiz idari erişimin kanıtıdır ve son incelemeden beri etkinleştirilen uzaktan erişim ayarları da aynı yöne işaret eder.

Temizlemek yerine yeniden kurmak

Plex, servis hesabının erişebildiği her şeyi açığa çıkmış saymayı öneriyor: mount edilmiş SMB ve NFS paylaşımları, aynı host veya VM üzerinde saklanan kimlik bilgileri ve Plex veri dizininde duran token'lar. dev.to rehberi, yeniden kurmadan önce bunların envanterini çıkarmanın önemini vurguluyor; çünkü yeniden kurulum, yatay hareket hakkındaki soruları yanıtlamak için gereken kanıtları yok ediyor.

Anlattığı savunulabilir işlem sırası şöyle: politika izin veriyorsa hostun anlık görüntüsünü alın, Preferences.xml'i ve Codecs dosyalarının bir listesini güvenli bir yere kopyalayın, temiz altyapıda yeni bir sunucu kurun, uygulama durumunu değil yalnızca medya kütüphanelerini geri yükleyin, Plex hesap ayarlarındaki her cihazın oturumunu kapatın, Plex parolasını değiştirin ve ele geçirilmiş makinede duran her kimlik bilgisini döndürün. Basit bir yeniden başlatma ıslah değildir — kötü amaçlı shared object diskte kalır ve sonraki açılışta geri döner.

Son tarihler ve Exposure sayıları

CISA, dört tanımlayıcının tamamını 20 Ekim 2026'da Known Exploited Vulnerabilities kataloğuna ekledi. Remediation tarihleri zinciri bölüyor: CVE-2026-96656 ve CVE-2026-96654 için 23 Ekim, CVE-2026-96652 ve CVE-2026-96655 için 3 Kasım. CVE-2026-96656 ayrıca adli triyaj gereksinimi taşıyor.

Ölçek açısından, dev.to makalesi, yazım anında Plex Media Server için bir ZoomEye sorgusunun 507.974 varlık döndürdüğünü, CVE-2026-96654'e etiketlenmiş bir sorgunun ise sıfır döndürdüğünü bildiriyor. İlk rakam internete açık kurulumları sayar, teyit edilmiş savunmasız veya ele geçirilmiş hostları değil ve yamalama durumları hakkında hiçbir şey söylemez.

Yamalama beklerken, uzaktan erişimi tamamen devre dışı bırakmak, 32400 portunun doğrudan yönlendirmesinden kaçınmak veya web önüne kimlik doğrulamalı bir reverse proxy koymak CVE'leri düzeltmez ama savunmasız uç noktalara kimin erişebileceğini daraltır.

Neden önemli

Bir üreticinin müşterilerinden yalnızca yamalamalarını değil, ihlal varsaymasını istemesi nadirdir ve bu zincirin sahada ne kadar güvenilir istismar edildiğine işaret eder. Hikaye ayrıca internete açık medya sunucularında olay müdahalesi için yararlı bir şablon: payload incelenebilir bir dizinde duruyor, Tehlike Göstergeleri somut süreç adları ve tek bir alan adı, doğru hedef noktası ise temizlik değil, kimlik bilgisi döndürmesiyle birlikte yeniden kurulum. Arama motorlarının saydığı yüz binlerce açık kurulum için pratik soru artık güncelleyip güncellememek değil, oraya önce biri uğramış mı diye sormaktır.