Plex Media Server: KEV-Reaktion im Oktober 2026 mit Update, Gefährdungsprüfung und Wiederherstellung kompromittierter Hosts

Worum es geht

Stand: 25. Oktober 2026. CISA nahm CVE-2026-96652, CVE-2026-96654, CVE-2026-96655 und CVE-2026-96656 am 20. Oktober 2026 in KEV auf. Sie betreffen serverseitige Anfragefälschung, den Zugriff auf interne Funktionen und Schwachstellen beim Schreiben von Dateien. Plex veröffentlichte seine Sicherheitsmeldung erstmals am 1. September; die Aktualisierung vom 19. Oktober 2026 bestätigt aktive Ausnutzung und nennt 1.43.3.10861 als nicht betroffene Server-Basisversion. Vor Abschluss der Behebung diese Meldung, spätere Releases und jede KEV-Massnahme erneut prüfen.

Warum es wichtig ist

Die betroffenen Komponenten befinden sich auf dem Server. Das Aktualisieren einer Wiedergabeanwendung auf einem Fernseher oder Desktop belegt keine Änderung am Server. Plex empfiehlt, einen älteren, über das Internet erreichbaren Server als möglicherweise kompromittiert zu behandeln. Ein erfolgreiches Update muss deshalb getrennt von der Integritätsbewertung dokumentiert werden.

CISA nennt unterschiedliche Fristen: den 23. Oktober 2026 für CVE-2026-96654 und CVE-2026-96656 sowie den 3. November 2026 für CVE-2026-96652 und CVE-2026-96655. Nicht der gesamten Gruppe das späteste Datum zuweisen. Zutreffende Anforderungen aus der Richtlinie getrennt von den Prioritäten der Organisation für Vorfälle und Patches erfassen.

So wird es angewendet

• Servernachweise erfassen. In Plex Web Einstellungen > Allgemein prüfen und die vollständige Serverversion festhalten. Jeden Rechner, jedes NAS-Paket und jeden Container auflisten, in dem ein Server läuft. Vor der Statusbewertung feststellen, welche Instanz jeder Client erreicht.
• Die Angriffsfläche verringern. Nicht benötigten Fernzugriff deaktivieren. Plex dokumentiert sowohl automatische Router-Weiterleitungen über UPnP oder NAT-PMP als auch manuelle Portweiterleitungen. Zur Überprüfung der Eindämmung diese Weiterleitungen, Reverse Proxys und Host-Firewalls für den eigenen Server untersuchen; unerwünschte Erreichbarkeit beseitigen und von einem freigegebenen externen Standort aus überprüfen. Firewalls nicht zur Fehlersuche an einer ungepatchten Installation deaktivieren.
• Das richtige Serverpaket installieren. Ein aktuelles, plattformspezifisches Paket über den offiziellen Vertriebsweg von Plex beziehen. Für ein Debian-Paket lautet die dokumentierte Installationsform sudo dpkg -i ./plexmediaserver.deb; den Beispieldateinamen dabei durch den Namen des tatsächlich heruntergeladenen Pakets ersetzen. Für NAS oder Container das separate Verfahren des Herstellers befolgen. Nach dem Server-Neustart prüfen, ob die laufende Version die Sicherheitsbasis oder ein späteres unterstütztes Release erreicht.
• Veröffentlichte Anzeichen untersuchen. Plex nennt unbekannte Binärdateien im Verzeichnis Codecs, unerwartete Kindprozesse und Verbindungen zu proxystream.st. Vor der Bereinigung Prozess-, Netzwerk- und Dateibeweise sichern. Beobachtungen mit der datierten Sicherheitsmeldung abgleichen und unerklärte Aktivitäten untersuchen, statt eine Übereinstimmung beim Dateinamen als abschliessenden Beleg anzusehen.
• Das Konto wiederherstellen und absichern. Lässt sich eine Kompromittierung nicht ausschliessen, empfiehlt Plex einen sauberen Neuaufbau sowie eine kontoweite Abmeldung mit Passwortänderung. Prüfen, worauf der Dienst zugreifen konnte. Von einem sauberen Gerät aus Autorisierte Geräte prüfen und unbekannte Einträge entfernen. Laut Plex-Dokumentation müssen sich entfernte Geräte erneut anmelden, um sich wieder zu registrieren. Zwei-Faktor-Authentifizierung für das Konto aktivieren und die Wiederherstellungscodes an einem Ort aufbewahren, der ohne das Authenticator-Gerät zugänglich ist.
• Den wiederhergestellten Dienst überprüfen. Die neue Serverversion, die bewusst gewählte Fernzugriffskonfiguration und die Geräteliste des Kontos dokumentieren. Normale Wiedergabe und erforderliche Integrationen testen. Eine Vorfallsdokumentation führen, die gesicherte Beweise, Wiederherstellungsentscheidungen und alle wegen ihrer Offenlegung ausgetauschten Dienstzugangsdaten miteinander verknüpft.

Stolpersteine

Eine Verzögerung im NAS-Paketmanager belegt nicht, dass ein altes Paket sicher ist. Einen neu aufgebauten Server nicht ohne Prüfung wieder an ein möglicherweise kontaminiertes Datenverzeichnis anbinden. Zwei-Faktor-Authentifizierung stärkt künftige Anmeldungen; sie belegt keine Serverintegrität. Plex warnt ausserdem, dass beim Wechsel zwischen Plex-Home-Mitgliedern keine zusätzliche Zwei-Faktor-Abfrage erfolgt. Fehlende Indikatoren allein können nicht beweisen, dass ein erreichbarer Host nie kompromittiert wurde.