最近の脆弱性 › CVE-2026-96656
Plex Media Server の脆弱性（CVE-2026-96656）
この解説はAIを使用して作成しています。誤りを含む可能性があり、内容は保証できません。必ず公式情報をご確認ください。
公開日:
基本情報（データから表示）
| CVE番号 | CVE-2026-96656 |
|---|---|
| 製品 | Plex Media Server |
| 深刻度（CVSS） | 7.2 重要CVSS v3.1 NVD に登録された、他の機関（開発元など）による評価 詳細（ベクター）CVSS:3.1/AV:N/AC:L/PR:H/UI:N/S:U/C:H/I:H/A:H |
| KEVへの追加日 | 2026-10-20 |
| 米国政府機関の対応期限 | 2026-10-23 |
| ランサムウェアでの悪用 | 不明（確認されていない） |
| 弱点の種類（CWE） | CWE-73 |
何が起きた
PlexのMedia Serverにおいて、ファイル名や保存場所の指定を適切に制御できない弱点が見つかり、すでに悪用が確認されています。この問題により、ネットワーク経由で管理者権限を持つ利用者が、読み込み時に実行される可能性がある任意の（攻撃者が好きに選べる）ファイルを書き込むことができます。また、この弱点はCVE-2026-96652、CVE-2026-96654、CVE-2026-96655と組み合わせて悪用できるとされています。
攻撃の流れ
データをもとに、AIを使用して作成した図です。実際の攻撃は、これと異なる場合があります。
誰が影響を受ける
PlexのMedia Serverを利用している人が影響を受けます。具体的には、バージョン1.43.3.10861より前のMedia Serverを使っている環境が対象です。
何をすればいい
利用者はメーカー（ベンダー）の公式案内を確認してください。バージョン1.43.3.10861以降に更新されているか確認し、案内に従って対策やアップデートを行いましょう。もし対策ができない場合は、製品の利用停止も検討してください。
用語メモ
- 管理者権限
- システムやソフトウェアに対して、設定の変更やすべての操作を行うことができる最も強い権限のことです。
- 任意（にんい）のファイル
- 攻撃者が自分の都合に合わせて自由に選んだり用意したりしたファイルのことです。
- 脆弱性（ぜいじゃくせい）
- プログラムの不具合や設計上のミスが原因で生じる、セキュリティ上の弱点や欠陥のことです。
元データ（英語・CISA KEV より）
Plex Media Server External Control of File Name or Path Vulnerability
概要
Plex Media Server contains an external control of file name or path vulnerability which can allow an admin user to write arbitrary files that may be executed on load. This vulnerability can be chained with CVE-2026-96652, CVE-2026-96654, and CVE-2026-96655.
推奨対応
Apply mitigations in accordance with vendor instructions, ensuring compliance with CISA’s BOD 26-04 Prioritizing Security Updates Based on Risk (see URL in Notes) guidance and CISA’s “Forensics Triage Requirements” (see URL in Notes). Follow applicable BOD 26-04 guidance for cloud services or discontinue use of the product if mitigations are unavailable. Stakeholders are responsible for evaluating each asset's internet exposure and ensuring adherence to BOD 26-04 patching guidelines.