CVE-2026-96656 Escritura arbitraria de archivos en Plex Media Server
Plex Media Server antes de 1.43.3.10861 permite a un usuario administrador escribir archivos arbitrarios que pueden ejecutarse al cargarse. La preferencia TranscoderH264Options se agrega literalmente a la cadena de opciones de x264 en cada transcodificación y, al iniciar, todos los archivos .so se ejecutan sin verificación de firma, bit de ejecución ni símbolos.
CVSS 3.1
- CVSS 4.08.6 · alta
- Probabilidad de explotación0,8 %
- Explotada activamenteSí, desde 20/10
- Exploit públicoSí, 2
EXPLOTADA ACTIVAMENTE La agencia de ciberseguridad de Estados Unidos (CISA) la incluyó el 20 de octubre de 2026 en su catálogo de vulnerabilidades explotadas en ataques reales, con plazo de corrección hasta el 23 de octubre de 2026. Corregirla es prioritario.
Afectados
Plex Media Server
hasta antes de 1.43.3.10861
Qué hacer
- Verificá si usás Media Server y en qué versión.
- Actualizá a la versión corregida que indique el fabricante en su aviso o aplicá su mitigación.
- Priorizá la corrección: ya se usa en ataques reales.
- Revisá registros y accesos de los sistemas expuestos para descartar un uso previo.
Exploits públicos
Código publicado por terceros. Puede ser malicioso: revisalo solo en un entorno aislado.
- code-zm/plex2shell CVE-2026-96652 CVE-2026-96654 CVE-2026-96655 CVE-2026-9665616 OCT · 23:00
- a3igner/plex-codec-cache-implant Incident write-up: unsigned .so in the Plex Media Server codec cache executes a dropper on every transcode (CVE-2026-96656) — IOCs, STIX, YARA18 OCT · 16:51
Calculadora CVSS
CVSS 3.1 · 7.2 ALTA
CVSS:3.1/AV:N/AC:L/PR:H/UI:N/S:U/C:H/I:H/A:H
- Vector de ataqueRed
- Complejidad del ataqueBaja
- Privilegios requeridosAltos
- Interacción del usuarioNinguna
- AlcanceSin cambio
- ConfidencialidadAlta
- IntegridadAlta
- DisponibilidadAlta
CVSS 4.0 · 8.6 ALTA
CVSS:4.0/AV:N/AC:L/AT:N/PR:H/UI:N/VC:H/VI:H/VA:H/SC:N/SI:N/SA:N
- Vector de ataqueRed
- Complejidad del ataqueBaja
- Requisitos del ataqueNinguno
- Privilegios requeridosAltos
- Interacción del usuarioNinguna
- Confidencialidad (sistema vulnerable)Alta
- Integridad (sistema vulnerable)Alta
- Disponibilidad (sistema vulnerable)Alta
- Confidencialidad (sistemas posteriores)Ninguna
- Integridad (sistemas posteriores)Ninguna
- Disponibilidad (sistemas posteriores)Ninguna
Descripción original
Plex Media Server before 1.43.3.10861 allows an admin user to write arbitrary files that may be executed on load. The preference TranscoderH264Options is appended verbatim to x264's option string on every transcode. At startup, all .so files are run without signature, execute bit, or symbol checks.
Referencias (6)
- forums.plex.tv/t/plex-media-server/30447/711
- www.cve.org/CVERecord?id=CVE-2026-96656
- raw.githubusercontent.com/cisagov/CSAF/develop/csaf_files/IT/white/2026/va-26-266-01.json
- zmain.info/blog/plex2shell
- www.boredhackerblog.info/2026/10/plex-vulnerabilities-being-exploited-in.html
- www.cisa.gov/known-exploited-vulnerabilities-catalog?field_cve=CVE-2026-96656
Historial (3)
- EXPLOIT PÚBLICOSe publicó code-zm/plex2shell.
- EXPLOIT PÚBLICOSe publicó a3igner/plex-codec-cache-implant.
- EXPLOTADA ACTIVAMENTEIncluida en el catálogo de explotación activa de CISA.
Resumen traducido automáticamente de la descripción original. Fuente: Nureq Monitor. Cómo funciona.