Plex Media Server เขียนไฟล์อันตรายได้ CVE-2026-96656
ผู้ดูแล Plex Media Server รุ่นก่อน 1.43.3.10861 ควรอัปเดตทันที โดยเฉพาะเครื่องที่เข้าถึงได้จากอินเทอร์เน็ต
สรุปใน 1 นาที
- อาการ/ปัญหา
- ผู้มีสิทธิ์แอดมินอาจเขียนไฟล์ผ่านค่าตั้ง transcoder แล้วทำให้โค้ดทำงานเมื่อเซิร์ฟเวอร์โหลดไฟล์
- ใครควรอ่าน
- Plex Media Server รุ่นก่อน 1.43.3.10861 มีผลกระทบ และช่องโหว่นี้ใช้ต่อกับช่องโหว่อื่นได้
- ทางแก้แบบสั้น
- อัปเดตเป็น 1.43.3.10861 หรือใหม่กว่า ตรวจร่องรอยบุกรุก และรับมือเหตุการณ์หากตัดความเป็นไปได้ว่าเครื่องถูกยึดไม่ได้
พอดีไล่ฟีด CISA KEV วันที่ 20 ตุลาคม 2026 เจอ CVE-2026-96656 ของ Plex Media Server ช่องโหว่นี้เปิดให้แอดมินกำหนดชื่อไฟล์หรือพาธ แล้วเขียนไฟล์ที่อาจถูกรันภายหลังได้ มีการใช้โจมตีจริงแล้ว CISA กำหนดแก้ภายใน 23 ตุลาคม 2026 สำหรับหน่วยงานรัฐบาลกลางสหรัฐฯ ที่อยู่ภายใต้ข้อกำหนด
เกิดอะไรขึ้น
ตามระเบียน CVE-2026-96656 ค่าตั้ง TranscoderH264Options ถูกนำไปต่อกับชุดตัวเลือกของ x264 โดยตรงทุกครั้งที่แปลงสื่อ เปิดทางให้แอดมินเขียนไฟล์ตามที่ต้องการได้ เมื่อเซิร์ฟเวอร์เริ่มทำงาน จะรันไฟล์ .so โดยไม่ตรวจลายเซ็น สิทธิ์ execute หรือ symbol ภายในไฟล์ ไฟล์ที่ถูกวางไว้เลยอาจกลายเป็นโค้ดที่ทำงานบนเครื่องได้
ช่องโหว่นี้จัดเป็น CWE-73 และได้คะแนน CVSS 4.0 ที่ 8.6 ระดับสูง ส่วน CVSS 3.1 อยู่ที่ 7.2 ระดับสูงเช่นกัน ช่องโหว่นี้เพียงตัวเดียวต้องใช้สิทธิ์สูง แต่ CISA ระบุว่าใช้ต่อกับ CVE-2026-96652, CVE-2026-96654 และ CVE-2026-96655 ได้ ต้องประเมินผลของทั้งชุดด้วย
ประกาศความปลอดภัยของ Plex อธิบายว่าเมื่อเชื่อมช่องโหว่เหล่านี้ ผู้โจมตีระยะไกลที่ยังไม่ยืนยันตัวตนสามารถรันโค้ดด้วยสิทธิ์ของโปรเซส Plex Media Server ได้ ผู้ผลิตพบการโจมตีเครื่องที่เปิดสู่อินเทอร์เน็ตเพื่อติดตั้งโปรแกรมขุดเงินดิจิทัลและซอฟต์แวร์พร็อกซี ซึ่งนำการเชื่อมต่อของเหยื่อไปรับส่งทราฟฟิกให้คนอื่น
ข้อมูลการโจมตีในแหล่งทางการมีต่างกันด้วย: SSVC ในส่วน CNA ของ ระเบียน CVE ยังระบุ Exploitation: none แต่ Plex ยืนยันการโจมตีจริงในประกาศวันที่ 19 ตุลาคม 2026 และ CISA เพิ่มเข้า KEV วันที่ 20 ตุลาคม 2026 ให้ใช้ข้อมูลที่ยืนยันภายหลังนี้จัดลำดับงานแพตช์
ใครโดนและรุ่นที่แก้
ตรวจรุ่นของ Plex Media Server โดยตรง ระเบียน CVE ระบุว่ากระทบรุ่นก่อนเลข build ในตาราง ส่วน Plex ยืนยันว่ารุ่นแก้และรุ่นใหม่กว่าไม่กระทบจากช่องโหว่ชุดนี้ ต้องเทียบเลขให้ครบ อย่าดูแค่ 1.43.3
| ผลิตภัณฑ์ | รุ่นที่ได้รับผลกระทบ | รุ่นที่แก้ |
|---|---|---|
| Plex Media Server | ก่อน 1.43.3.10861 | 1.43.3.10861 หรือใหม่กว่า |
สำหรับ NAS ผู้ผลิตเตือนว่าแพ็กเกจในร้านแอปของอุปกรณ์อาจยังตามไม่ทัน และสามารถดาวน์โหลดแพ็กเกจที่ตรงกับอุปกรณ์มาติดตั้งเองได้
ต้องทำอะไร
เปิด Plex Web ไปที่ Settings → General เพื่อตรวจรุ่น หากต่ำกว่า 1.43.3.10861 ให้ดาวน์โหลดตัวติดตั้งจากหน้า Downloads ของ Plex ให้ตรงกับระบบและสถาปัตยกรรม แล้วติดตั้งตามขั้นตอนของแพลตฟอร์มนั้น หลังอัปเดตให้กลับมาตรวจหมายเลขรุ่นที่กำลังทำงานอีกครั้ง
หากเครื่องรุ่นเก่าเข้าถึงได้จากอินเทอร์เน็ต Plex ให้ถือว่าอาจถูกบุกรุก ตรวจโปรเซสที่ Plex เรียกขึ้นมาแต่ไม่รู้จัก ไฟล์ .so หรือ .dll แปลกปลอมในโฟลเดอร์ Codecs และการใช้ CPU สูงต่อเนื่องทั้งที่ไม่มีการเล่นสื่อ การอัปเดตปิดช่องโหว่ไม่ได้ยืนยันว่าไฟล์หรือโปรแกรมที่ผู้โจมตีวางไว้ถูกนำออกแล้ว
หากพบร่องรอยหรือยังมีโอกาสที่เครื่องถูกบุกรุก ผู้ผลิตแนะนำให้ติดตั้งระบบใหม่จากแหล่งสะอาด ไม่ใช้ไดเรกทอรีข้อมูล Plex เดิมซ้ำ พร้อมออกจากระบบทุกอุปกรณ์และเปลี่ยนรหัสผ่านบัญชี Plex ให้ถือว่าข้อมูลที่บัญชีบริการเข้าถึงได้อาจรั่วไหลด้วย เช่น shared storage และข้อมูลรับรองบนเครื่องเดียวกัน
หากไม่ต้องใช้ Remote Access ให้ปิดใน Settings → Remote Access ตามคำแนะนำ Plex และหลีกเลี่ยงการ forward พอร์ต 32400 โดยตรงหากไม่จำเป็น มาตรการนี้ควรทำควบคู่กับการอัปเดต
ส่วนตัวผมให้เรื่องนี้อยู่ในคิวแพตช์ทันที โดยเฉพาะเครื่องที่เปิดเข้าจากภายนอก เพราะมีการโจมตีจริงและต้องตรวจความเสียหายควบคู่กัน ที่มา: CISA KEV — CVE-2026-96656, ระเบียน CVE และ Important Security Update for Plex Media Server v1.43.2 and earlier เดี๋ยวกลับมาแก้เพิ่มให้ภายหลังครับ
อยากให้เราทำให้ไหม?
ให้เราช่วยติดตั้ง ตั้งค่า ย้ายระบบ หรือแก้ปัญหาเซิร์ฟเวอร์ เพื่อให้คุณมีเวลาไปทำงานที่สำคัญกว่า
เคยเจองานแบบนี้ไหม? ติดตรงไหน?
มาแลกวิธีกันต่อในบอร์ด LinuxThai
ความคิดเห็น 0
ยังไม่มีความคิดเห็น — เป็นคนแรกเลย