Vulnerabilità ed exploit

Una falla di Plex mette a rischio l’archivio del NAS

QNAP riferisce che gli attaccanti stanno sfruttando la catena Plex2Shell per violare NAS con Plex Media Server; sono coinvolte quattro vulnerabilità. Il componente esposto non è solo un’app multimediale: gira sul dispositivo che conserva i file.

Una delle falle permette a una richiesta diretta al server Plex di raggiungere altri indirizzi accessibili dal NAS. Così un attaccante può usare il server multimediale per far contattare al dispositivo sistemi che non potrebbe raggiungere direttamente. CISA ha inserito tutte e quattro le vulnerabilità nel catalogo KEV e le scadenze di correzione fissate per le agenzie federali sono già passate.

QNAP indica come correzione la versione più recente di Plex Media Server disponibile nel QNAP App Center. L’aggiornamento chiude il percorso noto, ma non dimostra che un NAS già compromesso sia pulito; le fonti non chiariscono quanto accesso gli attaccanti abbiano ottenuto.

1 fonte · 3 ore fa

CVE-2026-96652

NVD KEV

Sfruttamento noto · CISA KEV

CVSS 4.3 MEDIUM: plex Media Server before 1.43.3.10861 allows SSRF via '/player/timeline'. EPSS 12% (96º percentile).

Data di correzione federale CISA 3 nov · data superata

CVE-2026-96655

NVD KEV

Sfruttamento noto · CISA KEV

CVSS 4.3 MEDIUM: plex Media Server before 1.43.3.10861 allows an authenticated user to request arbitrary internal or external… EPSS 11% (96º percentile).

Data di correzione federale CISA 3 nov · data superata

CVE-2026-96654

NVD KEV

Sfruttamento noto · CISA KEV

CVSS 6.5 MEDIUM: plex Media Server before 1.43.3.10861 does not correctly neutralize URL values included in 'searchOne,' allowing an… EPSS 2% (80º percentile), in aumento rispetto a 0.5%.

Data di correzione federale CISA 23 ott · data superata

CVE-2026-96656

NVD KEV

Sfruttamento noto · CISA KEV

CVSS 7.2 HIGH: plex Media Server before 1.43.3.10861 allows an admin user to write arbitrary files that may be executed on load. EPSS 2% (78º percentile).

Data di correzione federale CISA 23 ott · data superata

Cronologia

Fonti

Part of the PlainSec briefing for 2026-11-06

Every edition of this story: Una falla di Plex mette a rischio l’archivio del NAS

Altro da oggi