ABD Siber Güvenlik ve Altyapı Güvenliği Ajansı CISA, Salı günü Bilinen Sömürülen Açıklar kataloğuna dört açık ekledi. Bunların arasında topluca Plex2Shell adı verilen Plex Media Server açıkları da yer alıyor.
Açıklar aşağıda listeleniyor.
CVE-2026-96652 (CVSS puanı: 5,3) - Plex Media Server Sunucu Tarafı İstek Sahteciliği (SSRF) açığı
CVE-2026-96654 (CVSS puanı: 6,9) - Plex Media Server web sayfasında kodlanmış URI şemalarının uygun şekilde etkisiz hale getirilmemesi açığı
CVE-2026-96655 (CVSS puanı: 5,3) - Plex Media Server Sunucu Tarafı İstek Sahteciliği (SSRF) açığı
CVE-2026-96656 (CVSS puanı: 8,6) - Plex Media Server dosya adı veya yolunun dışarıdan kontrol edilmesi açığı
Açıkları keşfedip bildiren güvenlik araştırmacısı Zach Main'a göre uzaktan bir saldırgan dört açığı zincirleyerek kimlik doğrulaması olmadan uzaktan kod çalıştırmayı başarabiliyor. Sorunlar 3 Ağustos 2026'da yayımlanan Plex Media Server 1.43.3.10861 sürümünde giderildi.
Dört açığın KEV kataloğuna eklenmesi, güvenlik araştırmacısı boredhackerblog'un tehdit aktörlerinin bu açıkları kripto para madencileri ve proxy kötü amaçlı yazılımı dağıtmak için silahlandırdığını bildirmesinin ardından geldi.
CISA ayrıca aktif olarak sömürüldüğü belirlenen iki başka açığı da işaretledi. Bunlardan biri, Romulus adlı platformu kullanan ClickFix saldırılarında kötüye kullanılan Siemens Software Center'daki DLL sideloading açığı CVE-2026-110936, CVSS puanı 8,4.
İkinci güvenlik açığı, Japon şirketinin sömürüldüğünü doğruladığı EG Secure Solutions SiteGuard Server Edition'daki komut enjeksiyon hatası CVE-2026-106931, CVSS puanı 8,5. Sömürü faaliyetiyle ilgili ek ayrıntı şu an için mevcut değil.
CISA, Federal Sivil Yürütme Şubesi kurumlarından CVE-2026-106931, CVE-2026-96656 ve CVE-2026-96654 için düzeltmelerin 23 Ekim 2026 tarihine kadar uygulanmasını, kalan açıklar için ise 3 Kasım 2026'ya kadar önlem alınmasını istedi.
