Plex, SSRF açığı CVE-2026-96655 için yama yayınladı; yöneticilere geçmiş suistimal için logları tarama çağrısı

Plex Media Server 1.43.3.10861 sürümü, CVE-2026-96655 olarak takip edilen bir server-side request forgery açığını kapatıyor; 1.43.2 ve önceki sürümler bu açıktan etkileniyor. Ancak yamanın uygulanmış olması, hatanın belirli bir sunucuda halihazırda kullanılıp kullanılmadığı konusunda hiçbir şey söylemiyor. dev.to'da yayımlanan bir tespit rehberi, yöneticilere bu soruyu yanıtlayabilecek delilleri ve bunların nerede bulunacağını adım adım anlatıyor.

Açık neye izin veriyor

dev.to yazısına göre, kimliği doğrulanmış bir kullanıcı /video/:/transcode/universal endpoint'ine bir path parametresi verebiliyor ve sunucu bu hedefi kullanıcının adına getiriyor. Saldırgan fiilen sunucunun ağ üzerindeki konumunu ödünç alarak, dışarıdaki bir istemcinin asla doğrudan erişemeyeceği kaynaklara — yönlendirici yapılandırma sayfaları, loopback yönetim servisleri veya bulut metadata endpoint'leri gibi — ulaşıyor.

Tespit bu nedenle ortamın kaydedebildiği üç şeye dayanıyor: endpoint'i kimin çağırdığı, onu hangi hedefe yönlendirdiği ve sunucunun dönen içeriği nasıl ele aldığı.

Sinyal bir: isteklerin kendileri

Plex, transcoder etkinliğini istemci kimliği ve oturum bağlamıyla birlikte logluyor. Tipik bir ev kurulumunda, universal transcoder endpoint'ine yapılan çağrılar öngörülebilir saatlerde bilinen birkaç cihazdan gelir. Aranacak anomalinin kendisi endpoint kullanımı değil, normalde yalnızca içerik gözatan bir kimliğin kullanımı ya da alışılmadık bir parametre yapısına sahip isteklerdir. Rehber, sessiz bir haftadan bir temel çizgisi oluşturmayı ve sapmaları rutin iş olarak incelemeyi öneriyor; çünkü şüpheli bir ihlalden sonra oluşturulan temel çizgisinin hiçbir değeri yoktur.

Sinyal iki: sunucunun nereye bağlandığı

En güvenilir kanıt uygulama logunun dışında duruyor. Bir medya sunucusunun iç yönetim arayüzlerine — yönlendirici yönetim sayfası, loopback yönetim portu, link-local metadata adresi 169.254.169.254 veya bir hypervisor konsolu gibi — bağlantı açmaya başlaması, meşru Plex trafiğinin asla gerekçelendiremeyeceği bir davranıştır. Plex, internetten kapak görselleri, altyazılar ve metadata çeker; bu adreslerle konuşma işi yoktur.

Güvenlik duvarı, yönlendirici veya bulut VPC'sinden flow loglarına sahip yöneticiler, Plex sunucusundan iç yönetim subnetlerine giden trafiği sorgulayabilir. Flow telemetrisi olmayan bağımsız bir makinede ise ana makine düzeyinde bağlantı denetimi ya da sunucunun arayüzünde kısa bir paket yakalama, bir test isteğinden dakikalar içinde ikinci sıçramayı ortaya çıkarır.

Sinyal üç: yanıtların nasıl ele alındığı

Başarılı bir sahte getirme, transcoder'ın beklemediği içerik döndürür; bu genellikle parse hataları, tuhaf medya probe hataları veya neredeyse hemen başlayıp sonlanan transcode oturumları olarak kendini gösterir. Kullanıcı şikayetiyle eşleşmeyen bir transcode hatası artışı incelenmeye değer, ancak dev.to rehberi bunun tek başına zayıf bir sinyal olduğu konusunda açık: bir triage tetikleyicisi, asla kanıt değil.

Son tarihler ve maruziyet

CISA'nın giderme kılavuzu, BOD 26-04 kapsamında 3 Kasım 2026 tarihinde bir federal son tarih belirliyor; Known Exploited Vulnerabilities kataloğuna göre önceliklendiren kuruluşlar aynı zaman çizelgesini benimseyebilir. Maruziyetin ölçeği büyük: app="Plex Media Server" için yapılan bir ZoomEye sorgusu 507.974 eşleşen varlık döndürüyor. CVE'ye özgü vul.cve="CVE-2026-96655" sorgusu ise sıfır sonuç döndürüyor; rehber bunu, savunmasız makine olmadığının kanıtı olarak değil, varlık düzeyinde indeksleme boşluğu olarak yorumluyor.

Loglarda etkinlik görülürse

Önerilen sıra şöyle: rotasyon gerçekleşmeden önce ilgili log bölümlerini ve bağlantı kayıtlarını muhafaza etmek, sahte istekleri gönderen hesabı tespit edip devre dışı bırakmak ve bu isteklerin gerçekte neye ulaştığını belirlemek. Yönlendiricinin yapılandırma sayfasına erişmek ile bir metadata servisinden kimlik bilgisi çekmek arasında ciddiyet farkı vardır; bu nedenle hedefin maruz bırakmış olabileceği her kimlik bilgisi veya token döndürülmelidir. Yamlama bu listede son sırada gelse de yamanın atlanabilir olduğu anlamına gelmez: yükseltme olmadan yapılacak kontrol, saldırı yolunu açık bırakır.

Neden önemli

Bir yama geleceği çözer; geçmiş hakkında hiçbir şey söylemez ve bu tür SSRF hataları, dış dünyaya görünmez olması gereken iç servislere erişmek için ifşa edilmiş bir medya sunucusunu bir basamak haline getirir. İnternet tarayıcılarına görünen yaklaşık yarım milyon Plex sunucusuyla, birçok kurulum herhangi bir yönetilen envanterin dışında duruyor. dev.to rehberinden çıkarılacak pratik ders şu: log temel çizgileri ve giden trafik denetimleri bir olaydan önce var olmalıdır ve hiç tetiklenmemiş bir tespit kuralı, hiçbir şey olmadığının belgesi değil, dağıtım tamamlanana kadar izlemeye devam etmek için bir nedendir.