"Plex Media Server มี SSRF ถูกโจมตีจริง CVE-2026-96652"
"ผู้ดูแล Plex Media Server รุ่นก่อน 1.43.3.10861 ควรอัปเดตทันที โดยให้ความสำคัญกับเครื่องที่เปิดรับการเชื่อมต่อจากอินเทอร์เน็ต"
สรุปใน 1 นาที
- อาการ/ปัญหา
- ผู้โจมตีบังคับให้ Plex ส่งคำขอ POST ไปยังปลายทางที่เลือก และใช้ต่อกับช่องโหว่อื่นจนรันโค้ดได้
- ใครควรอ่าน
- Plex Media Server รุ่นก่อน 1.43.3.10861 ได้รับผลกระทบ
- ทางแก้แบบสั้น
- อัปเดตเป็น 1.43.3.10861 ขึ้นไป และตรวจการบุกรุกหากเคยเปิดเครื่องรุ่นที่มีช่องโหว่สู่อินเทอร์เน็ต
พอดีไล่ฟีด CISA KEV เจอ Plex Media Server หมายเลข CVE-2026-96652 ถูกเพิ่มเข้ารายการเมื่อ 20 ตุลาคม 2026 ประเด็นคือช่องโหว่ Server-Side Request Forgery หรือ SSRF ที่มีการใช้โจมตีจริงแล้ว และอาจเป็นจุดเริ่มของการโจมตีต่อเนื่องจนรันโค้ดบนเครื่องเซิร์ฟเวอร์ได้ รายการ KEV ของ CISA กำหนดวันแก้ไขเป็น 3 พฤศจิกายน 2026 สำหรับหน่วยงานรัฐบาลกลางสหรัฐฯ ที่อยู่ภายใต้ข้อกำหนด
เกิดอะไรขึ้น
ตาม บันทึก CVE ฉบับทางการ จุดที่มีปัญหาอยู่ที่ /player/timeline ผู้โจมตีใส่ URL เต็มลงในพารามิเตอร์ protocol พร้อมค่า X-Plex-Token ใดก็ได้ แล้วบังคับให้ Plex ส่งคำขอ HTTP POST ไปยังปลายทางที่เลือก แทนที่จะจำกัดการทำงานไว้ตามหน้าที่ปกติของ endpoint นั้น
พูดง่าย ๆ คือผู้โจมตีใช้เซิร์ฟเวอร์ส่งคำขอแทนตัวเอง บันทึก CVE ให้คะแนน CVSS 3.1 ที่ 4.3 และ CVSS 4.0 ที่ 5.3 ระดับปานกลางทั้งคู่ แต่ข้อมูลเรื่องสิทธิ์ไม่ตรงกัน: เวกเตอร์ทั้งสองระบุ PR:L ว่าต้องมีสิทธิ์ระดับต่ำ ขณะที่คำอธิบาย CVE ระบุว่าใช้ค่า token ใดก็ได้ และ Plex ระบุว่า endpoint นี้มี SSRF แบบไม่ต้องยืนยันตัวตน
อย่างไรก็ตาม ประกาศความปลอดภัยของ Plex ยืนยันว่า เมื่อต่อกับ CVE-2026-96654, CVE-2026-96655 และ CVE-2026-96656 ผู้โจมตีจากระยะไกลที่ไม่ต้องยืนยันตัวตนสามารถรันโค้ดด้วยสิทธิ์ของโปรเซส Plex Media Server ได้ คะแนนของ SSRF เพียงรายการเดียวเลยไม่สะท้อนผลกระทบของการโจมตีทั้งสาย
ข้อมูลการโจมตีในแหล่งทางการมีต่างกันด้วย: SSVC ในส่วน CNA ของ ระเบียน CVE ยังระบุ Exploitation: none แต่ Plex ยืนยันการโจมตีจริงในประกาศวันที่ 19 ตุลาคม 2026 และ CISA เพิ่มเข้า KEV วันที่ 20 ตุลาคม 2026 ให้ใช้ข้อมูลที่ยืนยันภายหลังนี้จัดลำดับงานแพตช์
ใครโดนและรุ่นที่แก้
ตรวจรุ่นของ Plex Media Server โดยตรง และเทียบเลข build ให้ครบ การเปิดอัปเดตอัตโนมัติไม่ได้บอกว่าติดตั้งรุ่นแก้แล้ว
| ผลิตภัณฑ์ | รุ่นที่ได้รับผลกระทบ | รุ่นที่แก้ไข |
|---|---|---|
| Plex Media Server | ก่อน 1.43.3.10861 | 1.43.3.10861 ขึ้นไป |
ประกาศ Plex ระบุว่ารุ่น 1.43.3.10861 และใหม่กว่าไม่ถูกกระทบจากช่องโหว่ในสายการโจมตีนี้ เปิด Plex Web แล้วเข้า Settings → General เพื่อตรวจรุ่นที่กำลังใช้งานจริงได้
ต้องทำอะไร
อัปเดตผ่านช่องทางทางการของ Plex ให้ตรงกับระบบปฏิบัติการและอุปกรณ์ สำหรับ NAS ที่ยังไม่มีแพ็กเกจใหม่ในตัวจัดการแอป Plex แนะนำให้ดาวน์โหลดแพ็กเกจที่ตรงรุ่นจาก หน้า Downloads แล้วติดตั้งตามขั้นตอนของผู้ผลิต NAS หลังอัปเดตให้กลับไปยืนยันเลขรุ่นอีกครั้ง
ถ้าเครื่องรุ่นที่มีช่องโหว่เคยเข้าถึงได้จากอินเทอร์เน็ต ให้ตรวจร่องรอยการบุกรุกด้วย Plex ให้ตรวจโปรเซสที่ไม่รู้จักซึ่งบริการ Plex เรียกขึ้นมา รวมถึงไฟล์ .so หรือ .dll แปลกปลอมในโฟลเดอร์ Codecs หากพบหลักฐานหรือยังมีโอกาสที่เครื่องถูกบุกรุก ให้ติดตั้งระบบใหม่จากแหล่งสะอาด ออกจากระบบทุกอุปกรณ์ และเปลี่ยนรหัสผ่านบัญชี Plex ตามคำแนะนำผู้ผลิต
Plex แนะนำให้ปิด Settings → Remote Access หากไม่จำเป็นต้องใช้งานจากภายนอก การลดช่องทางเข้าถึงควรทำควบคู่กับการอัปเดต
ส่วนตัวผมให้เคสนี้อัปเดตทันที โดยเฉพาะเครื่องที่เปิดสู่อินเทอร์เน็ต เพราะมีการโจมตีจริงแล้ว ที่มา: CVE-2026-96652 เดี๋ยวกลับมาแก้เพิ่มให้ภายหลังครับ
อยากให้เราทำให้ไหม?
ให้เราช่วยติดตั้ง ตั้งค่า ย้ายระบบ หรือแก้ปัญหาเซิร์ฟเวอร์ เพื่อให้คุณมีเวลาไปทำงานที่สำคัญกว่า
เคยเจองานแบบนี้ไหม? ติดตรงไหน?
มาแลกวิธีกันต่อในบอร์ด LinuxThai
ความคิดเห็น 0
ยังไม่มีความคิดเห็น — เป็นคนแรกเลย