Már kihasználják a Plex Media Server fájlírást lehetővé tevő hibáját

A CVE-2026-96656 azonosítójú sebezhetőség leírása adminisztrátori jogosultságú felhasználót nevez meg a visszaélés feltételeként. A probléma a fájlnév vagy az elérési út külső befolyásolásához kapcsolódik.

A technikai leírás szerint a szerver egy videóátalakítási beállítás tartalmát változtatás nélkül adja át az átalakító összetevőnek. Induláskor pedig minden .so fájlt futtat, aláírás, végrehajtási jogosultság vagy szimbólumok ellenőrzése nélkül. A CISA szerint a rés más sebezhetőségekkel is összekapcsolható.

A CISA 2026. október 20-án vette fel a sérülékenységet a KEV-listára. Ebben olyan hibák szerepelnek, amelyek tényleges kihasználására bizonyíték van: itt tehát nem pusztán egy elméleti támadási lehetőségről van szó.

A bejegyzésben megadott javítási határidő 2026. október 23. Ez az amerikai szövetségi szerveknek előírt dátum, nem a magyar használókra vonatkozó kötelezettség. A zsarolóvírusos támadásokban való felhasználást a nyilvántartás ismeretlenként jelöli.

A javított verzió az 1.43.3.10861; ennél újabb kiadás is megfelelő. A CISA a gyártói utasítások szerinti intézkedést írja elő, és az egyes érintett eszközök internetes kitettségének felmérését is kéri.

A sebezhetőség műszaki súlyosságát jelző CVSS-érték 8,6, ami magas besorolás. Ez a pontszám önmagában nem mutatja meg, hogy történnek-e támadások; a tényleges kihasználást ebben az esetben a KEV-listás szereplés támasztja alá.