CISA meldt actieve exploitatie van vier kwetsbaarheden in Plex Media Server, samen Plex2Shell genoemd, waarmee aanvallers beheerdersrechten verkrijgen.
De Amerikaanse Cybersecurity and Infrastructure Security Agency (CISA) waarschuwt dat aanvallers actief vier kwetsbaarheden in Plex Media Server misbruiken. Deze beveiligingsproblemen, gezamenlijk Plex2Shell genoemd, kunnen in combinatie leiden tot het verkrijgen van het admin-token van de eigenaar en het uitvoeren van code met verhoogde rechten.
Plex Media Server is een populaire mediasuite waarmee gebruikers persoonlijke collecties films, tv-series, muziek en foto’s kunnen organiseren en streamen naar andere apparaten, zowel thuis als op afstand via internet. CISA heeft federale instanties opgedragen om systemen die kwetsbaar zijn voor Plex2Shell uiterlijk 23 oktober te patchen of te mitigeren. De kwetsbaarheden zijn ontdekt door securityonderzoeker Zach Main, die ze op 27 juli verantwoord heeft gemeld bij Plex. De individuele kwetsbaarheden variëren van middelmatig tot hoog qua ernst, maar de volledige exploitketen krijgt een kritieke score van 9,8.
De vier kwetsbaarheden omvatten onder meer SSRF-fouten (Server-Side Request Forgery) en een kwetsbaarheid voor het schrijven van willekeurige bestanden, waardoor aanvallers kwaadaardige gedeelde bibliotheken kunnen plaatsen die Plex vervolgens laadt, wat leidt tot code-uitvoering. Zach Main publiceerde op 16 oktober volledige technische details over Plex2Shell en drie dagen later een proof-of-concept exploit. Vanaf 17 oktober zijn meldingen binnengekomen van daadwerkelijke exploitatie in het wild, waarbij aanvallers aanvankelijk Plex honeypots gebruikten om cryptominers te installeren. Plex2Shell treft versies van Plex Media Server ouder dan 1.43.3.10861, uitgebracht op 4 augustus.
Naast Plex2Shell heeft CISA ook een kwetsbaarheid in Siemens Software Center (SSC) toegevoegd aan de lijst van Known Exploited Vulnerabilities (KEV). Het gaat om een onbeheerde zoekpad-elementfout (CVE-2026-110936) die door aanvallers wordt misbruikt in campagnes met de multi-payload ClickFix-leveringsplatform Romulus. Volgens onderzoek van Forescout kan Romulus een privé-bedieningspaneel, een commerciële cybercriminelenservice, een affiliate-framework of software zijn die tussen operators wordt gedeeld. Siemens adviseert beheerders om SSC te updaten naar versie 4.0.9.8 of hoger en verstrekt indicatoren van compromittering.
Daarnaast is ook een OS command injection-kwetsbaarheid (CVE-2026-106931) in SiteGuard Server Edition web application firewall (WAF) toegevoegd aan KEV. Deze kwetsbaarheid wordt actief misbruikt, zo melden de leverancier en Japan’s CERT. Gebruikers wordt geadviseerd te upgraden naar de nieuwste updates van SiteGuard Server Edition voor Apache httpd, Nginx en IIS.
Uit het Blue Report 2026 blijkt dat zodra aanvallers beschikken over geldige credentials, slechts 37 procent van hun acties wordt geblokkeerd, wat het belang van het voorkomen van initiële toegang onderstreept. Deze analyse benadrukt dat preventiemaatregelen na het verkrijgen van geldige inloggegevens sterk afnemen.
