米CISA、「Plex Media Server」など6件の悪用済み脆弱性に注意喚起

米サイバーセキュリティ・インフラストラクチャー安全保障庁（CISA）は2026年10月20日、実際の攻撃で悪用されている証拠がある脆弱性6件を、Known Exploited Vulnerabilities（KEV）カタログに追加した。対象には「Plex Media Server」の4件の脆弱性に加え、EG Secure Solutionsの「SiteGuard Server Edition」およびSiemensの「Siemens Software Center」の脆弱性が含まれる。米連邦行政機関には、指定期限までの対応が求められる。

事案の詳細

今回、Plex Media Serverについて登録されたのは、CVE-2026-96652、CVE-2026-96654、CVE-2026-96655、CVE-2026-96656の4件。CVE-2026-96652とCVE-2026-96655はサーバーサイドリクエストフォージェリ（SSRF）、CVE-2026-96654はエンコードされたURIスキームの不適切な無害化、CVE-2026-96656はファイル名またはパスの外部制御に関する脆弱性とされる。

これらの脆弱性は、Plex Media Serverの機能を連鎖的に悪用する攻撃チェーン「Plex2Shell」として報告されている。SSRFやURL処理の不備、ファイル書き込みの問題などを組み合わせることで、認証を必要としない、または限定的な権限での操作を起点に、最終的にリモートコード実行へ至る可能性がある。CISAは、Plex Media Serverの4件について実際の悪用を確認しているが、個別の被害組織や被害規模の詳細は現時点で不明。

Plex Media Serverでは、4件すべてがバージョン1.43.3.10861で修正済みとされる。報道では、攻撃者がこれらの脆弱性を利用して暗号資産マイナーやプロキシ機能を持つマルウェアを導入した事例が伝えられているが、個々の攻撃の範囲や継続状況について、CISAが詳細を公表しているわけではない。

残る2件は、EG Secure Solutions SiteGuard Server EditionのCVE-2026-106931と、Siemens Software CenterのCVE-2026-110936である。前者はコマンドインジェクション（CVSS 8.5）、後者はDLLサイドローディング（CVSS 8.4）の脆弱性で、Siemens Software Centerの脆弱性は「ClickFix」型の攻撃で悪用されたと報じられている。SiteGuard Server Editionの悪用状況の詳細は現時点で明らかになっていない。

影響と背景

KEVカタログへの追加は、脆弱性が理論上存在するだけでなく、実際の悪用を示す情報があることを意味する。特にPlex Media Serverのようにインターネットから到達可能なサーバーでは、SSRFを通じた内部サービスへのアクセス、管理機能の悪用、細工したファイルの配置などにつながるおそれがある。

未修正のPlex Media Serverを外部公開している場合、攻撃者による侵入やマルウェア設置のリスクが高まる。利用組織は、公開状況、稼働バージョン、管理者アカウントやトークンの利用状況を確認し、修正版への更新が完了するまで不要な外部アクセスを制限する必要がある。SiteGuard Server EditionやSiemens製品についても、自組織の導入状況と提供元のセキュリティ情報を確認することが求められる。

対策・今後の展望

• 自組織での該当有無の確認：Plex Media Server、SiteGuard Server Edition、Siemens製品が本番環境、検証環境、NAS、個人管理の機器を含めて稼働していないか確認する。
• 修正の適用：Plex Media Serverは修正済みバージョン1.43.3.10861以降への更新を検討し、その他の製品についても提供元が案内する修正プログラムや緩和策を速やかに適用する。
• 外部公開の制限：更新が完了するまで、インターネットからの管理画面やサービスへのアクセスを遮断または許可元に限定し、不要なポート転送やリモートアクセス設定を停止する。
• 侵害の確認：不審なプロセス、暗号資産マイニング、プロキシソフト、見覚えのない共有ライブラリやファイル、異常な外向き通信がないか、更新前後のログとともに確認する。
• 適用後の確認：更新後にバージョン、設定、管理者アカウント、認証トークン、外部公開範囲を再点検し、対応内容を記録する。

CSRIからの現場アドバイス

【観点①：現場で何が起きているか】CSRIが支援する中小企業の診断では、社内サーバーやNAS、メディア系ソフトが「以前入れたまま更新されていない」状態で見つかることが少なくありません。MDRの現場でも、古いバージョンのサービスに対する不審なアクセスが継続的に観測される例があります。今回のPlex Media Serverの4件は実際の悪用が確認されているため、外部公開中の機器では特に優先して確認してください。

【観点②：平易な解説】例えるなら、建物の鍵に「すでに合鍵が出回っている欠陥」が見つかった状態です。Plex Media Serverでは、複数の機能上の問題を組み合わせることで、サーバー内部へのアクセスや悪意あるファイルの配置、コード実行につながる可能性があります。悪用済みは「実際に攻撃で使われている」前提で対応すべきサインです。

【観点③：今週中にできること】まず、社内でPlex Media Serverなど対象製品が動いていないか、管理台帳、端末一覧、ファイアウォールの公開設定を確認してください。次に、見つかった機器のバージョンを確認し、Plex Media Serverは1.43.3.10861以降への更新を進めます。最後に、不要な外部公開を停止し、暗号資産マイナーや不審なプロキシ、見覚えのないファイル、異常な通信の有無を確認したうえで、対応内容を記録してください。

参照: 「Plex Media Server」など6件、悪用済み脆弱性に注意喚起 – 米CISA