La Agencia de Ciberseguridad y Seguridad de las Infraestructuras de Estados Unidos (CISA) ha emitido una alerta por la explotación activa de cuatro vulnerabilidades en Plex Media Server. El conjunto de fallos, conocido como Plex2Shell, permite a un atacante que los encadena en un único exploit apoderarse del token de administrador del propietario y ejecutar código con privilegios elevados.
Plex Media Server es una popular suite multimedia que sirve para organizar colecciones personales de películas, series, música y fotografías y para retransmitirlas a otros dispositivos del hogar o de forma remota a través de internet.
CISA ha ordenado a las agencias federales que den prioridad al parcheo de los sistemas afectados por Plex2Shell o que apliquen las mitigaciones correspondientes antes del 23 de octubre.
Los fallos fueron descubiertos por el investigador de seguridad Zach Main, quien los reportó de forma responsable a Plex el 27 de julio. Cada vulnerabilidad por separado tiene una severidad entre media y alta, pero el investigador otorga a la cadena de explotación completa una puntuación crítica de 9,8.
- CVE-2026-96652: fallo SSRF en /player/timeline que permite a atacantes no autenticados hacer que Plex envíe solicitudes POST a destinos arbitrarios, incluidas sus propias API internas.
- CVE-2026-96654: fallo de inyección de URL en searchOne que permite a los atacantes invocar funciones de otros plugins con parámetros controlados por ellos.
- CVE-2026-96655: fallo SSRF autenticado en el endpoint del transcodificador que permite a los usuarios hacer que Plex solicite direcciones internas o externas arbitrarias.
- CVE-2026-96656: fallo de escritura arbitraria de archivos en la configuración del transcodificador que permite a los administradores implantar bibliotecas compartidas maliciosas que Plex carga posteriormente, lo que deriva en ejecución de código.
Zach Main publicó los detalles técnicos completos de Plex2Shell el 16 de octubre y tres días después divulgó un exploit de prueba de concepto (PoC). El 17 de octubre comenzaron a aparecer informes de explotación real de Plex2Shell, dirigidos inicialmente contra honeypots de Plex para desplegar un minero de criptomonedas.
Plex2Shell afecta a las versiones de Plex Media Server anteriores a la 1.43.3.10861, publicada el 4 de agosto.
Los atacantes también apuntan a Siemens Software Center
Junto a Plex2Shell, CISA ha añadido a su catálogo de vulnerabilidades explotadas conocidas (KEV) un fallo de elemento de ruta de búsqueda no controlada, registrado como CVE-2026-110936, en Siemens Software Center (SSC).
El gigante tecnológico alemán advirtió el 19 de octubre de que los atacantes estaban aprovechando la vulnerabilidad en campañas vinculadas a una plataforma de entrega ClickFix de múltiples cargas útil llamada Romulus. Investigaciones recientes de la empresa de ciberseguridad de tecnología operativa (OT) Forescout señalan que Romulus "puede ser un panel operado de forma privada, un servicio comercial de entrega cibercriminal, un framework de afiliados o software copiado entre operadores".
La alerta de Siemens sobre CVE-2026-110936 incluye indicadores de compromiso (IoCs) y recomendaciones para identificar sistemas comprometidos, e insta a los administradores a actualizar Siemens Software Center a la versión 4.0.9.8 o posterior.
CISA también ha incorporado a KEV CVE-2026-106931, un fallo de inyección de comandos del sistema operativo que afecta al firewall de aplicaciones web (WAF) SiteGuard Server Edition. Tanto el proveedor como el CERT de Japón señalaron la semana pasada que CVE-2026-106931 se estaba explotando activamente. El fabricante instó a los usuarios a actualizar SiteGuard Server Edition para Apache httpd, Nginx e IIS versión 8.00 Update 5, y SiteGuard Server Edition para Apache httpd y Nginx sobre FreeBSD versión 7.00 Update 6 o posterior.
Con credenciales válidas, solo se bloquea el 37% de las acciones
Las puntuaciones globales de prevención pueden ocultar lo que ocurre después del acceso inicial. Cuando los atacantes operan con credenciales válidas, la prevención cae de forma acusada. El Blue Report 2026 mide las defensas técnica por técnica en 338 millones de simulaciones ejecutadas en entornos de producción de clientes.
Una vez que los atacantes disponen de credenciales válidas, solo el 37% de sus acciones se bloquean.
Deja una respuesta