Plex Media Serverの脆弱性が悪用 公表直後に、更新と侵害の確認を

自宅やオフィスで、自分の動画や音楽を配信するソフト「Plex Media Server」に見つかった脆弱性4件を組み合わせた攻撃「Plex2Shell」が、技術情報の公開の翌日から、実際に悪用され始めました。インターネットに公開したままの未更新のサーバーが狙われています。Plexの公式の告知と、発見者・研究者の報告をもとに、情シスが確かめることを整理します。

何が起きているか

Plex Media Serverには、2026年8月3日公開の1.43.3.10861で直った脆弱性が4件あります。Plexは10月19日、フォーラムの告知を更新し、CVE番号と、実際に悪用されていることを明らかにしました。

4件は、単独ではなく、順につなぐことで効きます。認証(ログイン)なしに外から送った要求を足がかりに、最終的にサーバーの権限でコードを実行されるおそれがあります。Plexは、1.43.3.10861以降は影響を受けないとしています。

• CVE-2026-96652: 認証不要のサーバーサイドリクエストフォージェリ(SSRF)
• CVE-2026-96654: ループバック経由で内部の機能に触れられる
• CVE-2026-96655: サーバーの持ち主の管理トークンが漏れる
• CVE-2026-96656: Codecsフォルダーへ任意のファイルを書ける

発見者は2026年7月27日にPlexへ報告し、Plexは修正を出したうえで、10月16日に技術情報を公開しました。実証コードもこの日に公開されています。研究者のBoredHackerBlogは、翌17日に、おとり環境(ハニーポット)で実際の悪用を観測したと報告しました。

仕込まれるもの

悪用されたサーバーには、2つのソフトが仕込まれています。

• 仮想通貨の採掘(マイナー)。サーバーの計算資源を、攻撃者の採掘に使われます。何も再生していないのにCPUが高いまま、という形で表れます。
• 通信の中継(プロキシ)ソフト。被害者のインターネット回線を経由して、他人の通信を流します。自宅の回線や会社の回線が、攻撃者の踏み台にされます。

研究者は、Plexが一般家庭の回線で動いていることが多く、攻撃者は、そうした回線を、会社のVPNやメールに近づくための中継として欲しがるだろう、と指摘しています。

影響する会社・しない会社

• 影響する: 社内のサーバーやNASでPlexを動かし、インターネットに公開している会社。未更新なら、すでに侵害されている前提で確認します。
• 影響する: 社員が自宅でPlexを動かし、同じ機器やネットワークで会社の仕事もしている場合。中継ソフトを仕込まれると、家のネットワークが会社に近づく入り口になりえます。
• 影響しない(可能性が高い): Plexを使っていない会社。ただし、社員が私物の機器で使っていることがあり、在宅勤務の決まりの中で確かめます。

情シスが今日やること

• バージョンを確かめ、1.43.3.10861以降へ上げる。設定のGeneral(一般)で今の版を確認します。自動更新が入っていても、実際に上がっているかを見ます。NASでは、メーカーのアプリ一覧に新しい版がまだ無いことがあり、その場合はPlexの案内に沿って手動で入れます。
• 外部への公開を見直す。遠くから使う必要がなければ、設定のRemote Access(リモートアクセス)を切ります。ルーターでポート32400を直接開けている場合は、本当に要るかを確かめます。
• 侵害の痕跡を確かめる。心当たりのないプロセス(myawesomeproxy・mylovelyminer・x12345のような名前)、Codecsフォルダーの見覚えのない.so・.dll、proxystream.stへの外向きの通信、何も再生していないのにCPUが高いまま、を見ます。
• 見つかったら、入れ直す。古いデータフォルダーを使い回さず、きれいに入れ直します。最低でもCodecsフォルダーの中身を消し、Preferences.xmlに身に覚えのない変換の設定が無いかを確かめます。Plexアカウントで全端末からサインアウトしてパスワードを変え、同じ機器にあった共有フォルダーや認証情報は、漏れた前提で替えます。

在宅勤務の機器が、会社の入り口になる

今回とくに気をつけたいのは、社員の自宅の機器です。パスワード管理のLastPassは、2022年の2回目の侵害で、担当の技術者の自宅のパソコンにあった「第三者のメディアソフトの脆弱性」を突かれ、遠隔でコードを実行されて、キー入力を盗むソフトを仕込まれたと公表しています。報道では、このメディアソフトはPlexだったと伝えられました(当社は公表文から「第三者のメディアソフト」であることまでを確認しています)。

自宅の趣味の機器が、会社の認証情報に近づく入り口になりえる、という例です。会社のパソコンと、私物のサーバーを同じネットワークに置かない、私物の機器にも更新を促す、といった在宅勤務の決まりを、あらためて確かめる機会になります。