"Plex Media Server มี SSRF ถูกโจมตีจริง CVE-2026-96655"
"ผู้ดูแล Plex Media Server รุ่นก่อน 1.43.3.10861 ควรอัปเดตทันที โดยเฉพาะเครื่องที่เข้าถึงได้จากอินเทอร์เน็ต"
1-minute summary
- Symptom / problem
- ผู้ยืนยันตัวตนสามารถใช้ SSRF สั่ง Plex ส่งคำขอไปยังที่อยู่ที่เลือกได้ และช่องโหว่นี้ถูกใช้ในชุดการโจมตีจริง
- Who should read
- Plex Media Server ทุกรุ่นก่อน 1.43.3.10861
- Fix in short
- อัปเดตเป็น 1.43.3.10861 หรือใหม่กว่า พร้อมตรวจร่องรอยการบุกรุกในเครื่องที่เปิดรับจากอินเทอร์เน็ต
พอดีไล่ฟีด CISA KEV เจอ CVE-2026-96655 ใน Plex Media Server ซึ่งเป็นช่องโหว่ Server-Side Request Forgery หรือ SSRF รายการนี้ถูกเพิ่มเมื่อ 20 ตุลาคม 2026 และมีการนำไปโจมตีจริงแล้ว ช่องโหว่นี้ใช้ต่อกับช่องโหว่อื่นได้ ควรดูผลกระทบของทั้งชุดก่อนตัดสินใจเลื่อนแพตช์ ตามข้อมูลใน CISA KEV
เกิดอะไรขึ้น
CVE Record อธิบายว่าผู้ใช้ที่ยืนยันตัวตนแล้วสามารถส่งคำขอไปยังที่อยู่ใดก็ได้ ทั้งภายในและภายนอก ผ่านพารามิเตอร์ของเส้นทาง /video/:/transcode/universal พูดง่าย ๆ คือผู้โจมตีใช้ Plex ส่งคำขอแทนตัวเอง รวมถึงส่งไปยังบริการภายในที่เครื่อง Plex เข้าถึงได้ ผู้ดูแลต้องอัปเดตเพื่อปิดช่องทางนี้
คะแนนของช่องโหว่นี้ตาม CVE อยู่ที่ CVSS 4.0 5.3 ระดับปานกลาง และ CVSS 3.1 4.3 ระดับปานกลาง เงื่อนไขของตัวนี้ต้องมีสิทธิ์ผู้ใช้ระดับต่ำ แต่ไม่ต้องอาศัยการคลิกจากเหยื่อ คะแนนดังกล่าวประเมินช่องโหว่เดี่ยว ไม่ได้แทนผลกระทบของการนำหลาย CVE มาต่อกัน
Plex ยืนยัน ว่าช่องโหว่นี้เปิดเผย admin token ของเจ้าของเซิร์ฟเวอร์ได้ เมื่อใช้ร่วมกับ CVE-2026-96652, CVE-2026-96654 และ CVE-2026-96656 ผู้โจมตีที่ไม่ยืนยันตัวตนสามารถรันโค้ดระยะไกลด้วยสิทธิ์ของโปรเซส Plex ได้
ข้อมูลการโจมตีในแหล่งทางการมีต่างกันด้วย: SSVC ในส่วน CNA ของ ระเบียน CVE ยังระบุ Exploitation: none แต่ Plex ยืนยันการโจมตีจริงในประกาศวันที่ 19 ตุลาคม 2026 และ CISA เพิ่มเข้า KEV วันที่ 20 ตุลาคม 2026 ให้ใช้ข้อมูลที่ยืนยันภายหลังนี้จัดลำดับงานแพตช์
ใครโดนและรุ่นที่แก้
ระเบียน CVE ระบุว่ากระทบ Plex Media Server ก่อนรุ่นด้านล่าง และ Plex ยืนยันรุ่นแก้ โดยไม่ได้แยกเลขรุ่นตามระบบปฏิบัติการ
| ผลิตภัณฑ์ | รุ่นที่ได้รับผลกระทบ | รุ่นที่แก้ |
|---|---|---|
| Plex Media Server | ก่อน 1.43.3.10861 | 1.43.3.10861 หรือใหม่กว่า |
ควรเทียบเลข build ให้ครบ ไม่ใช่ดูเพียงว่าอยู่ในสาย 1.43.3 เพราะ CVE กำหนดจุดตัดไว้ถึง 1.43.3.10861 ส่วนแพ็กเกจบน NAS ต้องตรวจรุ่นที่ติดตั้งจริงด้วย การมีรายการ Plex อยู่ในคลังแอปไม่ได้ยืนยันว่าแพ็กเกจนั้นแก้ช่องโหว่นี้แล้ว
ต้องทำอะไร
เปิด Plex Web ที่ Settings > General ตรวจเลขรุ่น แล้วติดตั้งรุ่นที่แก้ตาม คำแนะนำ Plex หากคลังแอป NAS ยังไม่มีรุ่นใหม่ ให้ดาวน์โหลดแพ็กเกจจาก Plex มาติดตั้งเอง หลังอัปเดตตรวจเลขรุ่นซ้ำ
CISA กำหนดแก้รายการนี้ภายใน 3 พฤศจิกายน 2026 สำหรับหน่วยงานรัฐบาลกลางสหรัฐฯ ที่อยู่ภายใต้ข้อกำหนด โดยให้ทำตามคำแนะนำผู้ผลิต หรือหยุดใช้หากไม่มีมาตรการบรรเทา ผู้ดูแลทั่วไปควรเร่งแก้ด้วย เพราะมีการโจมตีจริงแล้ว
Plex เตือนว่าเครื่องรุ่นที่มีช่องโหว่ซึ่งเปิดรับจากอินเทอร์เน็ตอาจถูกยึดแล้ว
ตรวจโปรเซสแปลก ไฟล์ .so หรือ .dll ที่ไม่รู้จักใน Codecs และ CPU สูงผิดปกติ หากยังมีโอกาสที่เครื่องถูกบุกรุก Plex แนะนำให้ติดตั้งระบบใหม่จากแหล่งสะอาด ออกจากระบบทุกอุปกรณ์ และเปลี่ยนรหัสผ่าน ถ้าไม่ใช้ remote access ให้ปิด
ส่วนตัวผมให้เคสนี้อัปเดตทันที เพราะมีการโจมตีจริงและต่อช่องโหว่จนรันโค้ดได้ ที่มา: CVE-2026-96655 (CVE Record), CISA KEV และ ประกาศ Plex ถ้ามีรายละเอียดจากผู้ผลิตเพิ่มเติม เดี๋ยวกลับมาแก้เพิ่มให้ภายหลังครับ
Want us to set this up?
Get help with server setup, configuration, migration, or troubleshooting. Save time for the work that matters.
Hit something like this? Stuck somewhere?
Come trade notes on the LinuxThai board
Comments 0
No comments yet — be the first