Plex Media Serverの脆弱性連鎖「Plex2Shell」悪用が拡大、未更新サーバに注意

メディア配信ソフト「Plex Media Server（PMS）」の脆弱性を突き、認証なしにリモートからコードを実行する攻撃が広がっている。NAS向けアドオンアプリとしても利用されており、更新状況の確認と対応が求められる。

事案の詳細

Plexは2026年7月にリリースしたアップデートで、4件の脆弱性「CVE-2026-96652」「CVE-2026-96654」「CVE-2026-96655」「CVE-2026-96656」を修正した。さらに9月には、セキュリティ上の重要な修正を行ったことを明らかにし、利用者に注意を呼びかけていた。

これらの脆弱性を組み合わせた攻撃は「Plex2Shell」とも呼ばれている。攻撃ではサーバサイドリクエストフォージェリ（SSRF）や、トークンを取得できるURLの処理不備などを足がかりに、攻撃の連鎖を通じて不正なファイルを書き込むことが可能とされる。

10月16日に実証コードが公開され、その後は攻撃が観測された。Plexは同月19日、インターネットに公開された未更新サーバへの攻撃が広がっているとして注意を喚起している。

影響と背景

米サイバーセキュリティインフラストラクチャセキュリティ庁（CISA）は10月20日、4件の脆弱性を「悪用が確認された脆弱性カタログ（KEV）」へ登録した。脆弱性が悪用されたサーバでは、暗号資産をマイニングするソフトウェアや通信を中継するプロキシなど、利用者の意図しないソフトウェアが導入される被害も確認されている。PMSはNAS向けのアドオンアプリとしても利用されており、インターネットに公開した運用環境では特に注意が必要となる。

対策・今後の展望

• Plexが提供したアップデートを適用し、未更新のPlex Media Server（PMS）が残っていないか確認する
• インターネットに公開しているPMSについて、Plexが注意喚起している内容を踏まえ、運用状況を点検する
• 暗号資産マイニングやプロキシ導入の可能性を念頭に、不審なソフトウェア導入がないか確認する

CSRIからのアドバイス

脆弱性を複数つなげて侵入に至る手口は、実証コードの公開後に悪用が拡大しやすい。特にインターネットに公開された未更新サーバは狙われやすく、更新の遅れがリスクになる。

例えるなら、鍵がかかっていない入口から建物に入り、次の扉を開けるための通行証を見つけて奥へ進むようなものだ。つまり、認証なしに入り込まれ、遠隔から操作されたり、勝手なソフトが入れられたりする危険がある。

まずPlex Media Server（PMS）が動いている機器を洗い出し、2026年7月の更新で修正された4件のCVEに対応できているかを確認する。次にインターネット公開の有無を見直し、未更新のまま公開している構成がないよう担当者へ共有する。

参照: NASでも利用されるメディアサーバを狙った脆弱性攻撃に注意