Plex Media Server au CISA KEV : quatre CVE chaînables, de la requête forgée au code exécuté

Le 20 octobre 2026, la CISA a ajouté d'un coup quatre CVE de Plex Media Server à son catalogue KEV. Les quatre ont été publiées par NVD le 23 septembre 2026. Prises une par une, aucune n'est critique : la plus haute est à 7.2 en CVSS 3.1. Mais la CISA les décrit explicitement comme chaînables entre elles, et c'est la chaîne qui est exploitée.

Plex est souvent vu comme un logiciel de salon. Il tourne pourtant sur des NAS, des serveurs domestiques exposés sur Internet, et dans pas mal de petites structures. Et un serveur Plex compromis est un pied posé sur le réseau qui l'héberge.

Les quatre vulnérabilités

Tous les scores viennent de la CNA qui a publié les CVE, pas d'une analyse NVD ; les quatre fiches sont au statut NVD Modified. Vecteurs CVSS 3.1 :

• CVE-2026-96656 : CVSS:3.1/AV:N/AC:L/PR:H/UI:N/S:U/C:H/I:H/A:H
• CVE-2026-96654 : CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:L/I:L/A:N
• CVE-2026-96652 et CVE-2026-96655 : CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:L/I:N/A:N

Ce que fait chaque maillon

CVE-2026-96652 — SSRF sur /player/timeline. D'après NVD, un attaquant qui présente n'importe quelle valeur de X-Plex-Token peut placer une URL complète dans le paramètre protocol et forcer le serveur Plex à envoyer un POST vers la destination de son choix. Le serveur devient un relais vers le réseau interne.

CVE-2026-96655 — SSRF sur le transcodage. Un utilisateur authentifié peut faire requêter par le serveur des adresses internes ou externes arbitraires via le paramètre de chemin de /video/:/transcode/universal.

CVE-2026-96654 — searchOne. Plex ne neutralise pas correctement les valeurs d'URL incluses dans searchOne, ce qui permet d'appeler les fonctions d'autres plugins avec ses propres paramètres. C'est la seule des quatre notée PR:N : aucun privilège requis.

CVE-2026-96656 — du réglage au code exécuté. C'est le maillon final, et le plus grave. NVD détaille deux comportements :

1. la préférence TranscoderH264Options est ajoutée telle quelle à la chaîne d'options de x264 à chaque transcodage ;
2. au démarrage, tous les fichiers .so sont chargés sans vérification de signature, du bit d'exécution ni des symboles.

Un administrateur peut donc écrire un fichier arbitraire, et ce fichier peut être exécuté au prochain chargement. Le score de 7.2 s'explique par PR:H : il faut être admin.

Comment la chaîne s'assemble

NVD et la CISA ne publient pas le déroulé exact de l'attaque. La lecture qui suit est une déduction à partir des descriptions : les deux SSRF et l'appel de plugin servent à atteindre des fonctions ou des points d'accès qui ne devraient pas l'être, jusqu'à agir avec les droits d'un administrateur ; CVE-2026-96656 transforme ensuite ces droits en exécution de code sur la machine. Les références NVD pointent vers une analyse technique publique de la chaîne (« plex2shell ») et vers un billet qui rapporte une exploitation en cours.

L'entrée KEV précise que le lien avec des campagnes de rançongiciel est inconnu.

Versions affectées

Les quatre descriptions NVD indiquent : Plex Media Server avant 1.43.3.10861.

⚠️ Attention à une incohérence dans les données : la configuration CPE de NVD fixe la borne haute exclue à 1.43.0.10861, alors que la description dit 1.43.3.10861. L'advisory Plex cité par la CISA s'intitule « Important security update for Plex Media Server v1.43.2 and earlier ». Retiens la borne la plus prudente : toute version antérieure à 1.43.3.10861 est à mettre à jour, et vérifie la version à installer sur le forum Plex (lien dans l'entrée KEV).

Ces numéros sont des bornes, pas forcément la dernière version publiée : installe la plus récente disponible pour ta plateforme.

Vérifier la version installée : dans l'interface web, Paramètres → Général, ou via l'API locale :

curl -s http://127.0.0.1:32400/identity

Détection

• Préférence TranscoderH264Options : sa valeur doit être vide ou correspondre à ce que tu as configuré. Toute option inattendue est suspecte.
• Fichiers .so récents dans les répertoires de Plex que tu n'as pas installés (comparer les dates avec la dernière mise à jour).
• Requêtes sortantes du serveur Plex vers des adresses internes (RFC1918, 169.254.169.254) ou des destinations inhabituelles : c'est la signature des SSRF.
• Accès à /player/timeline avec un paramètre protocol contenant une URL complète, et à /video/:/transcode/universal avec des chemins atypiques, dans les journaux du serveur ou d'un reverse proxy.
• Nouveaux comptes ou partages ajoutés sans ton intervention.

Mitigation

1. Mettre à jour Plex Media Server vers une version au moins égale à 1.43.3.10861. Deux échéances CISA : le 23 octobre pour CVE-2026-96654 et CVE-2026-96656, le 3 novembre pour les deux SSRF.
2. Ne pas exposer le port 32400 directement sur Internet si tu n'en as pas besoin ; préfère le relais Plex ou un VPN.
3. Filtrer les sorties du serveur Plex : il n'a aucune raison de joindre ton réseau d'administration ni le service de métadonnées d'un cloud.
4. Si le serveur a été exposé avant la mise à jour : la mise à jour ne supprime pas un .so déjà déposé. Inspecte les fichiers, remets TranscoderH264Options à zéro, change le mot de passe du compte Plex et révoque les appareils autorisés.

L'entrée KEV renvoie aussi aux exigences de triage forensique de la directive BOD 26-04 : pour un serveur exposé, l'inspection fait partie de la remédiation.

Pourquoi surveiller en continu les logiciels « annexes »

Plex n'apparaît dans presque aucun inventaire d'entreprise, et c'est justement le problème : quatre CVE MEDIUM et HIGH passent inaperçues pendant un mois, puis la CISA donne trois jours. Un logiciel absent de l'inventaire ne déclenche aucune alerte.

Avec cveo.tech, déclare tous les logiciels qui tournent sur ton parc, y compris ceux qui ne sont pas « métier », et reçois une alerte dès qu'une CVE qui les concerne entre au catalogue CISA KEV.