Plex Media Server กรอง URI ไม่ครบ CVE-2026-96654 ถูกโจมตีจริง

พอดีไล่ฟีด CISA KEV เจอ CVE-2026-96654 ของ Plex Media Server ซึ่งถูกเพิ่มเข้าบัญชีช่องโหว่ที่มีการโจมตีจริงเมื่อ 20 ตุลาคม 2026 จุดที่ต้องระวังคือผู้โจมตีใช้ช่องโหว่นี้ต่อกับช่องโหว่อื่นเพื่อยึดการทำงานของเซิร์ฟเวอร์ได้ ผู้ดูแลที่ยังใช้รุ่นเก่าควรตรวจเลขรุ่นเต็มและเร่งติดตั้งแพตช์ โดย CISA กำหนดเส้นตายแก้ไขสำหรับหน่วยงานรัฐบาลกลางสหรัฐฯ ที่อยู่ในขอบเขตข้อกำหนดไว้ที่ 23 ตุลาคม 2026 ตามรายการ KEV ของ CISA

เกิดอะไรขึ้น

ปัญหาอยู่ที่ searchOne ซึ่งกรองค่า URL ไม่ครบ ผู้โจมตีเลยเรียกฟังก์ชันของปลั๊กอินอื่น พร้อมส่งพารามิเตอร์ที่กำหนดเองได้ ช่องโหว่นี้จัดเป็น CWE-84 คือกรอง URI scheme ที่เข้ารหัสมาได้ไม่ถูกต้อง

ระเบียน CVE ให้ความรุนแรงระดับปานกลาง โดยมี CVSS 3.1 เท่ากับ 6.5 และ CVSS 4.0 เท่ากับ 6.9 ผลกระทบของช่องโหว่นี้ครอบคลุมความลับและความถูกต้องของข้อมูล ส่วนการรันโค้ดระยะไกลเป็นผลเมื่อใช้หลายช่องโหว่ต่อกัน

Plex อธิบายในประกาศความปลอดภัย ว่า CVE-2026-96654 เปิดทางเข้าถึงฟังก์ชัน agent ภายในผ่าน loopback และเมื่อใช้ร่วมกับ CVE-2026-96652, CVE-2026-96655 และ CVE-2026-96656 ผู้โจมตีจากระยะไกลที่ไม่ผ่านการยืนยันตัวตนสามารถรันโค้ดด้วยสิทธิ์ของโปรเซส Plex Media Server ได้ ผู้พัฒนายืนยันว่าพบการโจมตีอย่างแพร่หลาย และเครื่องที่ถูกยึดถูกนำไปขุดคริปโทหรือใช้เป็นพร็อกซี

ข้อมูลการโจมตีในแหล่งทางการมีต่างกันด้วย: SSVC ในส่วน CNA ของ ระเบียน CVE ยังระบุ Exploitation: none แต่ Plex ยืนยันการโจมตีจริงในประกาศวันที่ 19 ตุลาคม 2026 และ CISA เพิ่มเข้า KEV วันที่ 20 ตุลาคม 2026 ให้ใช้ข้อมูลที่ยืนยันภายหลังนี้จัดลำดับงานแพตช์

ใครโดนและรุ่นที่แก้

ระเบียน CVE ระบุว่ากระทบ Plex Media Server ก่อน build 1.43.3.10861 และ Plex ยืนยันรุ่นแก้ โดยไม่ได้แยกเลขรุ่นตามระบบปฏิบัติการ

ให้เทียบเลข build เต็ม อย่าอาศัยเพียงเลข 1.43.3 หรือสถานะว่าเปิดอัปเดตอัตโนมัติแล้ว สำหรับ NAS ผู้พัฒนาระบุว่าแพ็กเกจที่แก้อาจยังไม่ปรากฏในตัวจัดการแพ็กเกจของอุปกรณ์ แต่ดาวน์โหลดแพ็กเกจจาก Plex มาติดตั้งเองได้

ต้องทำอะไร

เปิด Plex Web ไปที่ Settings > General เพื่อตรวจรุ่นของเซิร์ฟเวอร์ หากต่ำกว่า 1.43.3.10861 ให้ติดตั้งรุ่นที่แก้หรือใหม่กว่าจากช่องทางทางการ เลือกแพ็กเกจให้ตรงระบบและสถาปัตยกรรม แล้วตรวจเลขรุ่นซ้ำหลังอัปเดต สำหรับ NAS ให้ทำตามขั้นตอนติดตั้งแพ็กเกจด้วยตนเองของผู้ผลิตอุปกรณ์

หากเครื่องรุ่นที่มีช่องโหว่เข้าถึงได้จากอินเทอร์เน็ต Plex แนะนำให้ตั้งสมมติฐานว่าอาจถูกบุกรุกแล้ว ตรวจโปรเซสที่ไม่รู้จักซึ่งถูกเรียกโดย Plex และไฟล์ .so หรือ .dll แปลกปลอมในโฟลเดอร์ Codecs การอัปเดตปิดช่องทางโจมตี แต่ไม่ได้ยืนยันว่าเครื่องที่เคยถูกยึดกลับมาสะอาด

หากพบหลักฐานหรือยังมีโอกาสที่เครื่องถูกบุกรุก ผู้พัฒนาแนะนำให้ติดตั้งระบบใหม่จากแหล่งสะอาด ออกจากระบบทุกอุปกรณ์ผ่านบัญชี Plex และเปลี่ยนรหัสผ่าน ให้ถือว่าข้อมูลที่บัญชีบริการเข้าถึงได้อาจรั่วไหลด้วย

ส่วนตัวผมให้เคสนี้อยู่ในคิวแพตช์ทันที เพราะมีการโจมตีจริงและใช้ต่อเป็นชุดเพื่อรันโค้ดได้ ที่มา: CVE-2026-96654, CISA KEV และ Important Security Update for Plex Media Server หากมีรายละเอียดจากประกาศที่ต้องขยายความ เดี๋ยวกลับมาแก้เพิ่มให้ภายหลังครับ