Plex Media Serverの2026年10月KEV対応：更新、影響範囲の確認、侵害されたホストの復旧

概要

2026年10月25日時点の情報である。CISAは2026年10月20日に、CVE-2026-96652、CVE-2026-96654、CVE-2026-96655、CVE-2026-96656をKEVへ追加した。これらは、サーバーサイドリクエストフォージェリ、内部機能へのアクセス、ファイル書き込みの弱点に関係する。Plexのセキュリティ告知は9月1日に公開され、2026年10月19日の更新では進行中の悪用を確認し、影響を受けないサーバーの基準を1.43.3.10861と示している。是正を完了する前に、この告知、後続リリース、各KEVが要求する対応を再確認する。

重要な理由

影響を受けるコンポーネントをホストしているのはサーバーである。テレビやデスクトップの再生アプリを更新しても、サーバーが変更された証拠にはならない。Plexは、インターネットから到達可能だった古いサーバーを、侵害されている可能性があるものとして扱うよう勧めている。そのため、更新の成功と完全性の評価は別に記録しなければならない。

CISAが記載する期限は異なり、CVE-2026-96654とCVE-2026-96656は2026年10月23日、CVE-2026-96652とCVE-2026-96655は2026年11月3日である。グループ全体に最も遅い期限を割り当てない。適用される指令の要件は、組織のインシデント対応とパッチ適用の優先順位とは別に記録する。

適用方法

• サーバーの証拠を記録する。 Plex Webで設定 > 一般を確認し、サーバーの完全なバージョンを記録する。サーバーを実行しているすべてのマシン、NASパッケージ、コンテナを一覧にする。状態を評価する前に、各クライアントがどのインスタンスに接続するかを特定する。
• 露出を減らす。 不要なリモートアクセスをオフにする。Plexの文書には、UPnPまたはNAT-PMPによる自動的なルーターのマッピングと、手動のポート転送の両方が記載されている。封じ込めの確認として、自ら管理するサーバーに関するそれらのマッピング、リバースプロキシ、ホストのファイアウォールを調べる。不要な露出をなくし、承認済みの外部拠点から確認する。未修正の環境をトラブルシューティングするためにファイアウォールを無効にしない。
• 正しいサーバーパッケージをインストールする。 Plexの公式配布経路から、プラットフォームに合った最新のパッケージを取得する。Debianパッケージでは、文書に記載されたインストール形式はsudo dpkg -i ./plexmediaserver.debであり、例のファイル名を実際にダウンロードしたパッケージ名に置き換える。NASやコンテナでは、ベンダーが別途示す手順に従う。サーバーを再起動したら、稼働中のバージョンがセキュリティ基準、またはそれ以降のサポート対象リリースに達していることを検証する。
• 公開された兆候を調査する。 Plexは、Codecsディレクトリ内の見覚えのないバイナリ、予期しない子プロセス、proxystream.stへの接続を挙げている。クリーンアップ前に、プロセス、ネットワーク、ファイルの証拠を保全する。観測結果を日付の付いたアドバイザリと照合し、ファイル名の一致を決定的な証拠と思い込まず、説明のつかない活動を調査する。
• 復旧し、アカウントを保護する。 侵害を否定できない場合、Plexはクリーンな再構築と、パスワード変更を伴うアカウント全体のサインアウトを勧めている。サービスが何にアクセスできたかを確認する。クリーンな端末からAuthorized Devicesを調べ、見覚えのない項目を削除する。Plexの文書では、削除した端末が再登録するには再度サインインする必要があるとされている。アカウントの二要素認証を有効にし、認証アプリを入れた端末がなくても取り出せる場所に復旧コードを保管する。
• 復元したサービスを検証する。 新しいサーバーバージョン、意図して設定したリモートアクセス構成、アカウントの端末一覧を文書化する。通常の再生と必要な連携をテストする。保全した証拠、復旧判断、漏えいを理由にローテーションしたサービス認証情報を結び付けるインシデント記録を残す。

落とし穴

NASのパッケージマネージャーで更新が遅れていることは、古いパッケージが安全である証拠にはならない。汚染が疑われるデータディレクトリに、レビューなしで再構築したサーバーを接続し直さない。二要素認証は今後のサインインを強化するが、サーバーの完全性を証明するものではない。Plexは、Plex Homeのメンバーを切り替えても二要素認証が追加で要求されないことにも注意を促している。侵害指標が見つからないというだけでは、露出していたホストが一度も侵害されなかったと証明できない。