"Plex Media Server มี SSRF ถูกโจมตีจริง CVE-2026-96652"
"ผู้ดูแล Plex Media Server รุ่นก่อน 1.43.3.10861 ควรอัปเดตทันที โดยให้ความสำคัญกับเครื่องที่เปิดรับการเชื่อมต่อจากอินเทอร์เน็ต"
1-minute summary
- Symptom / problem
- ผู้โจมตีบังคับให้ Plex ส่งคำขอ POST ไปยังปลายทางที่เลือก และใช้ต่อกับช่องโหว่อื่นจนรันโค้ดได้
- Who should read
- Plex Media Server รุ่นก่อน 1.43.3.10861 ได้รับผลกระทบ
- Fix in short
- อัปเดตเป็น 1.43.3.10861 ขึ้นไป และตรวจการบุกรุกหากเคยเปิดเครื่องรุ่นที่มีช่องโหว่สู่อินเทอร์เน็ต
พอดีไล่ฟีด CISA KEV เจอ Plex Media Server หมายเลข CVE-2026-96652 ถูกเพิ่มเข้ารายการเมื่อ 20 ตุลาคม 2026 ประเด็นคือช่องโหว่ Server-Side Request Forgery หรือ SSRF ที่มีการใช้โจมตีจริงแล้ว และอาจเป็นจุดเริ่มของการโจมตีต่อเนื่องจนรันโค้ดบนเครื่องเซิร์ฟเวอร์ได้ รายการ KEV ของ CISA กำหนดวันแก้ไขเป็น 3 พฤศจิกายน 2026 สำหรับหน่วยงานรัฐบาลกลางสหรัฐฯ ที่อยู่ภายใต้ข้อกำหนด
เกิดอะไรขึ้น
ตาม บันทึก CVE ฉบับทางการ จุดที่มีปัญหาอยู่ที่ /player/timeline ผู้โจมตีใส่ URL เต็มลงในพารามิเตอร์ protocol พร้อมค่า X-Plex-Token ใดก็ได้ แล้วบังคับให้ Plex ส่งคำขอ HTTP POST ไปยังปลายทางที่เลือก แทนที่จะจำกัดการทำงานไว้ตามหน้าที่ปกติของ endpoint นั้น
พูดง่าย ๆ คือผู้โจมตีใช้เซิร์ฟเวอร์ส่งคำขอแทนตัวเอง บันทึก CVE ให้คะแนน CVSS 3.1 ที่ 4.3 และ CVSS 4.0 ที่ 5.3 ระดับปานกลางทั้งคู่ แต่ข้อมูลเรื่องสิทธิ์ไม่ตรงกัน: เวกเตอร์ทั้งสองระบุ PR:L ว่าต้องมีสิทธิ์ระดับต่ำ ขณะที่คำอธิบาย CVE ระบุว่าใช้ค่า token ใดก็ได้ และ Plex ระบุว่า endpoint นี้มี SSRF แบบไม่ต้องยืนยันตัวตน
อย่างไรก็ตาม ประกาศความปลอดภัยของ Plex ยืนยันว่า เมื่อต่อกับ CVE-2026-96654, CVE-2026-96655 และ CVE-2026-96656 ผู้โจมตีจากระยะไกลที่ไม่ต้องยืนยันตัวตนสามารถรันโค้ดด้วยสิทธิ์ของโปรเซส Plex Media Server ได้ คะแนนของ SSRF เพียงรายการเดียวเลยไม่สะท้อนผลกระทบของการโจมตีทั้งสาย
ข้อมูลการโจมตีในแหล่งทางการมีต่างกันด้วย: SSVC ในส่วน CNA ของ ระเบียน CVE ยังระบุ Exploitation: none แต่ Plex ยืนยันการโจมตีจริงในประกาศวันที่ 19 ตุลาคม 2026 และ CISA เพิ่มเข้า KEV วันที่ 20 ตุลาคม 2026 ให้ใช้ข้อมูลที่ยืนยันภายหลังนี้จัดลำดับงานแพตช์
ใครโดนและรุ่นที่แก้
ตรวจรุ่นของ Plex Media Server โดยตรง และเทียบเลข build ให้ครบ การเปิดอัปเดตอัตโนมัติไม่ได้บอกว่าติดตั้งรุ่นแก้แล้ว
| ผลิตภัณฑ์ | รุ่นที่ได้รับผลกระทบ | รุ่นที่แก้ไข |
|---|---|---|
| Plex Media Server | ก่อน 1.43.3.10861 | 1.43.3.10861 ขึ้นไป |
ประกาศ Plex ระบุว่ารุ่น 1.43.3.10861 และใหม่กว่าไม่ถูกกระทบจากช่องโหว่ในสายการโจมตีนี้ เปิด Plex Web แล้วเข้า Settings → General เพื่อตรวจรุ่นที่กำลังใช้งานจริงได้
ต้องทำอะไร
อัปเดตผ่านช่องทางทางการของ Plex ให้ตรงกับระบบปฏิบัติการและอุปกรณ์ สำหรับ NAS ที่ยังไม่มีแพ็กเกจใหม่ในตัวจัดการแอป Plex แนะนำให้ดาวน์โหลดแพ็กเกจที่ตรงรุ่นจาก หน้า Downloads แล้วติดตั้งตามขั้นตอนของผู้ผลิต NAS หลังอัปเดตให้กลับไปยืนยันเลขรุ่นอีกครั้ง
ถ้าเครื่องรุ่นที่มีช่องโหว่เคยเข้าถึงได้จากอินเทอร์เน็ต ให้ตรวจร่องรอยการบุกรุกด้วย Plex ให้ตรวจโปรเซสที่ไม่รู้จักซึ่งบริการ Plex เรียกขึ้นมา รวมถึงไฟล์ .so หรือ .dll แปลกปลอมในโฟลเดอร์ Codecs หากพบหลักฐานหรือยังมีโอกาสที่เครื่องถูกบุกรุก ให้ติดตั้งระบบใหม่จากแหล่งสะอาด ออกจากระบบทุกอุปกรณ์ และเปลี่ยนรหัสผ่านบัญชี Plex ตามคำแนะนำผู้ผลิต
Plex แนะนำให้ปิด Settings → Remote Access หากไม่จำเป็นต้องใช้งานจากภายนอก การลดช่องทางเข้าถึงควรทำควบคู่กับการอัปเดต
ส่วนตัวผมให้เคสนี้อัปเดตทันที โดยเฉพาะเครื่องที่เปิดสู่อินเทอร์เน็ต เพราะมีการโจมตีจริงแล้ว ที่มา: CVE-2026-96652 เดี๋ยวกลับมาแก้เพิ่มให้ภายหลังครับ
Want us to set this up?
Get help with server setup, configuration, migration, or troubleshooting. Save time for the work that matters.
Hit something like this? Stuck somewhere?
Come trade notes on the LinuxThai board
Comments 0
No comments yet — be the first