Plex Media Server เขียนไฟล์อันตรายได้ CVE-2026-96656
ผู้ดูแล Plex Media Server รุ่นก่อน 1.43.3.10861 ควรอัปเดตทันที โดยเฉพาะเครื่องที่เข้าถึงได้จากอินเทอร์เน็ต
1-minute summary
- Symptom / problem
- ผู้มีสิทธิ์แอดมินอาจเขียนไฟล์ผ่านค่าตั้ง transcoder แล้วทำให้โค้ดทำงานเมื่อเซิร์ฟเวอร์โหลดไฟล์
- Who should read
- Plex Media Server รุ่นก่อน 1.43.3.10861 มีผลกระทบ และช่องโหว่นี้ใช้ต่อกับช่องโหว่อื่นได้
- Fix in short
- อัปเดตเป็น 1.43.3.10861 หรือใหม่กว่า ตรวจร่องรอยบุกรุก และรับมือเหตุการณ์หากตัดความเป็นไปได้ว่าเครื่องถูกยึดไม่ได้
พอดีไล่ฟีด CISA KEV วันที่ 20 ตุลาคม 2026 เจอ CVE-2026-96656 ของ Plex Media Server ช่องโหว่นี้เปิดให้แอดมินกำหนดชื่อไฟล์หรือพาธ แล้วเขียนไฟล์ที่อาจถูกรันภายหลังได้ มีการใช้โจมตีจริงแล้ว CISA กำหนดแก้ภายใน 23 ตุลาคม 2026 สำหรับหน่วยงานรัฐบาลกลางสหรัฐฯ ที่อยู่ภายใต้ข้อกำหนด
เกิดอะไรขึ้น
ตามระเบียน CVE-2026-96656 ค่าตั้ง TranscoderH264Options ถูกนำไปต่อกับชุดตัวเลือกของ x264 โดยตรงทุกครั้งที่แปลงสื่อ เปิดทางให้แอดมินเขียนไฟล์ตามที่ต้องการได้ เมื่อเซิร์ฟเวอร์เริ่มทำงาน จะรันไฟล์ .so โดยไม่ตรวจลายเซ็น สิทธิ์ execute หรือ symbol ภายในไฟล์ ไฟล์ที่ถูกวางไว้เลยอาจกลายเป็นโค้ดที่ทำงานบนเครื่องได้
ช่องโหว่นี้จัดเป็น CWE-73 และได้คะแนน CVSS 4.0 ที่ 8.6 ระดับสูง ส่วน CVSS 3.1 อยู่ที่ 7.2 ระดับสูงเช่นกัน ช่องโหว่นี้เพียงตัวเดียวต้องใช้สิทธิ์สูง แต่ CISA ระบุว่าใช้ต่อกับ CVE-2026-96652, CVE-2026-96654 และ CVE-2026-96655 ได้ ต้องประเมินผลของทั้งชุดด้วย
ประกาศความปลอดภัยของ Plex อธิบายว่าเมื่อเชื่อมช่องโหว่เหล่านี้ ผู้โจมตีระยะไกลที่ยังไม่ยืนยันตัวตนสามารถรันโค้ดด้วยสิทธิ์ของโปรเซส Plex Media Server ได้ ผู้ผลิตพบการโจมตีเครื่องที่เปิดสู่อินเทอร์เน็ตเพื่อติดตั้งโปรแกรมขุดเงินดิจิทัลและซอฟต์แวร์พร็อกซี ซึ่งนำการเชื่อมต่อของเหยื่อไปรับส่งทราฟฟิกให้คนอื่น
ข้อมูลการโจมตีในแหล่งทางการมีต่างกันด้วย: SSVC ในส่วน CNA ของ ระเบียน CVE ยังระบุ Exploitation: none แต่ Plex ยืนยันการโจมตีจริงในประกาศวันที่ 19 ตุลาคม 2026 และ CISA เพิ่มเข้า KEV วันที่ 20 ตุลาคม 2026 ให้ใช้ข้อมูลที่ยืนยันภายหลังนี้จัดลำดับงานแพตช์
ใครโดนและรุ่นที่แก้
ตรวจรุ่นของ Plex Media Server โดยตรง ระเบียน CVE ระบุว่ากระทบรุ่นก่อนเลข build ในตาราง ส่วน Plex ยืนยันว่ารุ่นแก้และรุ่นใหม่กว่าไม่กระทบจากช่องโหว่ชุดนี้ ต้องเทียบเลขให้ครบ อย่าดูแค่ 1.43.3
| ผลิตภัณฑ์ | รุ่นที่ได้รับผลกระทบ | รุ่นที่แก้ |
|---|---|---|
| Plex Media Server | ก่อน 1.43.3.10861 | 1.43.3.10861 หรือใหม่กว่า |
สำหรับ NAS ผู้ผลิตเตือนว่าแพ็กเกจในร้านแอปของอุปกรณ์อาจยังตามไม่ทัน และสามารถดาวน์โหลดแพ็กเกจที่ตรงกับอุปกรณ์มาติดตั้งเองได้
ต้องทำอะไร
เปิด Plex Web ไปที่ Settings → General เพื่อตรวจรุ่น หากต่ำกว่า 1.43.3.10861 ให้ดาวน์โหลดตัวติดตั้งจากหน้า Downloads ของ Plex ให้ตรงกับระบบและสถาปัตยกรรม แล้วติดตั้งตามขั้นตอนของแพลตฟอร์มนั้น หลังอัปเดตให้กลับมาตรวจหมายเลขรุ่นที่กำลังทำงานอีกครั้ง
หากเครื่องรุ่นเก่าเข้าถึงได้จากอินเทอร์เน็ต Plex ให้ถือว่าอาจถูกบุกรุก ตรวจโปรเซสที่ Plex เรียกขึ้นมาแต่ไม่รู้จัก ไฟล์ .so หรือ .dll แปลกปลอมในโฟลเดอร์ Codecs และการใช้ CPU สูงต่อเนื่องทั้งที่ไม่มีการเล่นสื่อ การอัปเดตปิดช่องโหว่ไม่ได้ยืนยันว่าไฟล์หรือโปรแกรมที่ผู้โจมตีวางไว้ถูกนำออกแล้ว
หากพบร่องรอยหรือยังมีโอกาสที่เครื่องถูกบุกรุก ผู้ผลิตแนะนำให้ติดตั้งระบบใหม่จากแหล่งสะอาด ไม่ใช้ไดเรกทอรีข้อมูล Plex เดิมซ้ำ พร้อมออกจากระบบทุกอุปกรณ์และเปลี่ยนรหัสผ่านบัญชี Plex ให้ถือว่าข้อมูลที่บัญชีบริการเข้าถึงได้อาจรั่วไหลด้วย เช่น shared storage และข้อมูลรับรองบนเครื่องเดียวกัน
หากไม่ต้องใช้ Remote Access ให้ปิดใน Settings → Remote Access ตามคำแนะนำ Plex และหลีกเลี่ยงการ forward พอร์ต 32400 โดยตรงหากไม่จำเป็น มาตรการนี้ควรทำควบคู่กับการอัปเดต
ส่วนตัวผมให้เรื่องนี้อยู่ในคิวแพตช์ทันที โดยเฉพาะเครื่องที่เปิดเข้าจากภายนอก เพราะมีการโจมตีจริงและต้องตรวจความเสียหายควบคู่กัน ที่มา: CISA KEV — CVE-2026-96656, ระเบียน CVE และ Important Security Update for Plex Media Server v1.43.2 and earlier เดี๋ยวกลับมาแก้เพิ่มให้ภายหลังครับ
Want us to set this up?
Get help with server setup, configuration, migration, or troubleshooting. Save time for the work that matters.
Hit something like this? Stuck somewhere?
Come trade notes on the LinuxThai board
Comments 0
No comments yet — be the first