CISA adaugă Plex2Shell, Siemens și SiteGuard pe lista vulnerabilităților exploatate

Pe 20 octombrie 2026, șase vulnerabilități din trei produse — Plex Media Server, Siemens Software Center și EG Secure Solutions SiteGuard Server Edition — au fost adăugate în catalogul Known Exploited Vulnerabilities (KEV) al agenției americane CISA. Includerea în KEV înseamnă că există dovezi de exploatare reală, nu doar un risc teoretic, iar agențiile federale civile din SUA au acum termene fixe pentru aplicarea patch-urilor.

Ce s-a întâmplat

Plex2Shell (patru CVE-uri în Plex Media Server). Cel mai mare grup îl formează patru bug-uri din Plex Media Server care, luate împreună, sunt numite Plex2Shell:

Luate separat, cele mai multe au severitate medie. Cercetătorul care le-a descoperit, Zach Main, a arătat că un atacator de la distanță le poate înlănțui pe toate patru pentru a obține execuție de cod de la distanță fără autentificare pe server. Plex a corectat problemele în Plex Media Server 1.43.3.10861, lansat pe 3 august 2026. Cercetări independente publicate de atunci arată că atacatorii folosesc lanțul pentru a instala mineri de criptomonede și malware de tip proxy pe serverele expuse.

Siemens Software Center (CVE-2026-110936, CVSS 8.4). O vulnerabilitate de tip DLL sideloading, folosită în campanii de inginerie socială de tip ClickFix, livrate printr-o platformă numită Romulus.

EG Secure Solutions SiteGuard Server Edition (CVE-2026-106931, CVSS 8.5). Un bug de tip command injection. Producătorul japonez a confirmat că este exploatat, dar nu au fost publicate încă detalii despre aceste atacuri.

Termene pentru agențiile federale americane: CVE-2026-106931, CVE-2026-96656 și CVE-2026-96654 trebuie corectate până pe 23 octombrie 2026. Celelalte trei au termen 3 noiembrie 2026.

De ce contează

• Bug-urile de severitate medie pot duce la o compromitere completă. Plex2Shell este un exemplu clasic: niciun bug nu este critic în sine, dar lanțul este. O triere care se uită doar la scorul CVSS al fiecărui CVE le va clasa prea jos.
• Serverele media sunt „shadow IT”. Plex rulează adesea pe home lab-uri, NAS-uri sau mașini „temporare” din birou pe care nu le urmărește nimeni și este frecvent accesibil din internet. Exact pe aceste sisteme atacatorii minează acum criptomonede și le folosesc ca proxy.
• Un punct de sprijin de tip proxy valorează mai mult decât banii din minerit. Un server compromis care retransmite trafic le oferă atacatorilor infrastructură curată pentru următoarea operațiune, iar în rețeaua ta devine un punct de plecare pentru a pătrunde mai departe.
• Sideloading-ul combinat cu ClickFix trece de prudența utilizatorilor. Când o aplicație de încredere, semnată, încarcă un DLL malițios, multe soluții de protecție a endpoint-urilor nu mai sunt atente.

Ce trebuie făcut

1. Actualizează Plex Media Server imediat la versiunea 1.43.3.10861 sau mai nouă, inclusiv instanțele de pe NAS, din containere sau de pe calculatoarele angajaților.
2. Scoate Plex de pe internet dacă nu există o nevoie reală de business. Dacă accesul de la distanță este necesar, pune-l în spatele unui VPN sau al unui reverse proxy cu autentificare.
3. Caută semne de compromitere pe orice server Plex care a fost expus înainte de patch: încărcare neobișnuită a procesorului, procese sau servicii necunoscute, conexiuni noi spre exterior și proxy-uri care ascultă pe porturi.
4. Aplică patch-urile pentru Siemens Software Center și SiteGuard Server Edition conform recomandărilor fiecărui producător, chiar dacă termenele federale americane nu te privesc.
5. Instruiește echipa despre capcanele ClickFix (mesaje false de tip „repară” sau „verifică” care cer lipirea unor comenzi) și monitorizează încărcările de DLL din locații neobișnuite.
6. Folosește KEV ca listă de priorități. Dacă un CVE apare acolo și folosești produsul, aplică patch-ul înaintea ciclului obișnuit.

Expuneri ca acestea sunt exact ce detectează scanarea de vulnerabilități: verificări regulate, autentificate, pe toate sistemele tale — inclusiv serverul media uitat — care semnalează CVE-uri exploatate activ, ca acestea, ca să fie corectate înainte să le găsească un atacator.

Relatat de The Hacker News — citește articolul original. Lista oficială: catalogul CISA KEV.