Plex2Shellの脆弱性4件を米CISAが「悪用確認済み」に追加、10月23日までの対処を指定―Plex Media Serverの侵害調査も必要|セキュリティニュースのセキュリティ対策Lab

投稿日時: 2026年10月22日更新日時: 2026年10月22日

米サイバーセキュリティ・インフラセキュリティ庁（CISA）は2026年10月20日（米国時間）、Plex Media Serverの脆弱性4件を「Known Exploited Vulnerabilities（KEV）」カタログに追加しました。4件を連鎖させる攻撃は「Plex2Shell」と呼ばれ、未修正のサーバーに対して認証なしでコードを実行するおそれがあります。Plexはすでに攻撃の広範な発生を認め、侵害されたサーバーが暗号資産のマイニングや第三者の通信中継に利用されていると説明しています。

今回新たに明らかになったのは、米政府機関向けの具体的な対応期限と、一部の脆弱性で侵害痕跡の調査が指定されたことです。影響を受けるのはPlex Media Server 1.43.3.10861未満で、公開サーバーを運用する組織は修正版への更新に加え、すでに侵入されていないかを確認する必要があります。

Plex2ShellとCISAの発表のサマリー

CISAは10月20日、CVE-2026-96652、CVE-2026-96654、CVE-2026-96655、CVE-2026-96656の4件をKEVに登録しました。
これらは個別の欠陥を連鎖させることで、認証情報を持たない攻撃者によるリモートコード実行に至る可能性があります。
対象はPlex Media Server 1.43.3.10861未満。修正版はすでに公開されています。
米連邦政府の対象機関に対するKEVの対応期限は、2件が10月23日、残る2件が11月3日です。
CISAの公開データでは、CVE-2026-96656の「フォレンジック・トリアージ」が「Yes」とされています。
攻撃者が暗号資産マイナーやプロキシソフトを導入した事例を、Plexとセキュリティ研究者が報告しています。
更新済みでも、侵害前に配置された不正なファイルや認証情報の悪用リスクが自動的に解消されるとは限りません。
インターネットに公開したNAS、Linuxサーバー、Docker環境を含め、導入先とバージョンを確認する必要があります。

項目	内容
対象製品	Plex Media Server
攻撃の呼称	Plex2Shell
対象CVE	CVE-2026-96652／96654／96655／96656
影響を受けるバージョン	1.43.3.10861未満
修正済みバージョン	1.43.3.10861以降
CISA KEV登録日	2026年10月20日（米国時間）
想定される侵害	サーバープロセスの権限による任意コード実行、認証トークンへのアクセス、マルウェア配置
実攻撃で報告された用途	暗号資産マイニング、外部通信のプロキシ中継
主な対策	更新、公開範囲の見直し、侵害痕跡の確認、必要に応じたクリーン環境からの再構築

CISAが4件をKEVに追加、2件は10月23日が米政府機関向け期限

CISAは10月20日、実際の悪用を裏付ける情報に基づき、新たに6件の脆弱性をKEVへ追加しました。このうち4件がPlex Media Serverの「Plex2Shell」を構成します。CISAが公開するKEVデータによる各脆弱性の分類と対応期限は次のとおりです。

CVE	脆弱性の内容（CISAによる分類）	対応期限（米連邦政府の対象機関）	フォレンジック・トリアージ
CVE-2026-96652	サーバーサイド・リクエスト・フォージェリ（SSRF）	2026年11月3日	No
CVE-2026-96654	URIの不適切な処理を通じた内部機能へのアクセス	2026年10月23日	No
CVE-2026-96655	トランスコーダーに関するSSRF	2026年11月3日	No
CVE-2026-96656	ファイル名・パスの外部制御による任意ファイル書き込み	2026年10月23日	Yes

「フォレンジック・トリアージ」とは、修正を行うだけでなく、攻撃者による侵害が発生していなかったかを調べる初期調査です。CISAのBOD 26-04に基づく期限は米連邦政府の対象機関に適用されるもので、日本国内の民間企業に同じ日付の法的義務が直ちに生じることを意味しません。ただし、CISAは民間を含むすべての組織に対し、KEVを優先した脆弱性対処を推奨しています。

今回の追加には、国内WAF製品「SiteGuard Server Edition」のCVE-2026-106931と、Siemens Software CenterのCVE-2026-110936も含まれています。いずれもPlex2Shellとは別の脆弱性です。

4件の欠陥を組み合わせ、認証なしのコード実行に至る

Plexの説明によると、Plex2Shellでは外部からの不正なリクエストを起点として、サーバー内部の機能へのアクセス、管理者トークンへの到達、任意ファイルの書き込みといった複数の段階が連鎖します。最後にPlexが読み込むディレクトリに不正なライブラリが置かれることで、サーバー上でコードが実行される可能性があります。

4件のうち単体では認証が必要な問題も含まれますが、他の欠陥と組み合わさることで認証のない外部攻撃者にも悪用の余地が生じます。CISAが4件すべてをKEVに追加したのは、単独の深刻度だけではなく、実際の攻撃で利用されている点を踏まえたものです。

10月17日に攻撃観測、Plexも広範な悪用を公表

脆弱性を発見した研究者Zach Main氏は7月27日にPlexへ報告しました。その後、Plexは9月1日にサーバー向け更新の適用を呼びかけ、10月16日に技術的な詳細と実証コードが公開されました。

10月17日には、研究者が設置したハニーポットで攻撃が観測され、暗号資産マイニング用プログラムやプロキシソフトの配置が報告されました。Plexは10月19日付の公式フォーラム追記で、インターネットに公開された未更新サーバーに対する攻撃が広範に発生し、侵害された環境で暗号資産マイナーや他人の通信を中継するソフトウェアが動作していると明らかにしました。

侵害されたサーバーは、管理者の知らないところで計算資源やネットワーク回線を悪用されるだけでなく、共有フォルダーや同一ホスト内の認証情報にアクセスされるおそれがあります。CISAのKEV登録は実悪用の確認を示しますが、すべての未更新サーバーが侵害済みであることや、ランサムウェアによる被害が確認されたことを意味しません。

管理者が確認すべき感染兆候と復旧手順

Plexは、1.43.3.10861未満のサーバーをインターネットから到達可能な状態で運用していた場合、すでに侵害されている可能性を想定して調査するよう案内しています。

Plex Webの「Settings → General」でバージョンを確認し、1.43.3.10861以降に更新する。NASなどでアプリストアに修正版がない場合は、公式配布パッケージを用いた更新を検討する。
Plex Media Serverから起動された不審なプロセスを確認する。公式が挙げる名称にはmyawesomeproxy、mylovelyminer、x12345などがある。
Codecsディレクトリ内の見覚えのない.so、.dllファイル、Preferences.xmlの予期しないトランスコーダー設定を点検する。
proxystream.stへの外向き通信や、再生していない時間帯の異常なCPU使用率を調べる。
侵害が疑われる場合は証拠保全と影響範囲の確認を行い、古いデータディレクトリを引き継がないクリーン環境からの再構築を検討する。Plexアカウントの全端末サインアウト・パスワード変更、サーバーが利用できた共有領域や認証情報の調査も実施する。

脆弱性を塞ぐ更新と、既に設置された不正ファイルの除去は別の対応です。公開範囲も見直し、リモートアクセスが不要なら「Settings → Remote Access」を無効化し、必要のないTCP 32400番ポートのインターネット公開を避けます。

企業の情報システム部門では、Windows・macOS・Linuxだけでなく、NASやコンテナ内で運用するPlexも資産台帳と照合する必要があります。とくに更新前に公開されていたサーバーは、パッチ適用後もログとファイルの調査対象に含めてください。

<!– SEOタイトル案：Plex2Shellの脆弱性4件をCISAがKEV追加、10月23日対応期限と侵害調査を要求 SEOディスクリプション案：米CISAは2026年10月20日、Plex Media ServerのPlex2Shell脆弱性4件を悪用確認済みのKEVに追加。CVE別の米政府向け対応期限、フォレンジック調査、修正版1.43.3.10861、マイナー・プロキシの感染兆候と対処を整理します。編集メモ：既存記事 https://rocket-boys.co.jp/security-measures-lab/plex2shell-cve-2026-96652-96654-96655-96656-active-exploitation-20261020/ の更新原稿。既存URLを維持し、新規記事として重複公開しない。 –>