Plex Media Server и KEV за октябрь 2026 года: обновление, оценка подверженности атакам и восстановление скомпрометированных хостов

Что это

Состояние на 25 октября 2026 года. CISA добавило CVE-2026-96652, CVE-2026-96654, CVE-2026-96655 и CVE-2026-96656 в KEV 20 октября 2026 года. Они связаны с подделкой запросов на стороне сервера, доступом к внутренним функциям и недостатками механизмов записи файлов. Уведомление Plex о безопасности впервые появилось 1 сентября; его обновление от 19 октября 2026 года подтверждает активную эксплуатацию и указывает 1.43.3.10861 как базовую незатронутую версию сервера. Перед закрытием работ по устранению повторно проверьте это уведомление, последующие релизы и требуемое действие для каждой записи KEV.

Почему это важно

Затронутые компоненты находятся на сервере. Обновление приложения для воспроизведения на телевизоре или компьютере не доказывает, что сервер изменился. Plex рекомендует считать старый сервер, доступный из интернета, потенциально скомпрометированным. Поэтому успешное обновление нужно фиксировать отдельно от оценки целостности.

CISA указывает разные сроки: 23 октября 2026 года для CVE-2026-96654 и CVE-2026-96656 и 3 ноября 2026 года для CVE-2026-96652 и CVE-2026-96655. Не назначайте всей группе самый поздний срок. Фиксируйте применимые требования директивы отдельно от приоритетов организации по инцидентам и исправлениям.

Как применять

• Зафиксируйте сведения о сервере. В Plex Web откройте «Настройки > Общие» и сохраните полный номер версии сервера. Перечислите все машины, пакеты NAS и контейнеры, в которых работает сервер. Прежде чем оценивать его состояние, установите, к какому экземпляру подключается каждый клиент.
• Сократите доступность извне. Отключите ненужный Remote Access. Plex описывает как автоматическое создание правил на маршрутизаторе через UPnP или NAT-PMP, так и ручную переадресацию портов. Для проверки локализации изучите эти правила, обратные прокси и межсетевые экраны хоста своего сервера; уберите нежелательную доступность и проверьте результат из разрешённой внешней точки. Не отключайте межсетевые экраны для диагностики установки без исправлений.
• Установите правильный серверный пакет. Получите актуальный пакет для нужной платформы через официальный канал распространения Plex. Для пакета Debian документированная форма установки — sudo dpkg -i ./plexmediaserver.deb; замените пример имени файла именем фактически скачанного пакета. Для NAS или контейнера следуйте отдельной процедуре разработчика. После перезапуска сервера убедитесь, что работающая версия соответствует базовой версии с исправлениями безопасности или более позднему поддерживаемому релизу.
• Исследуйте опубликованные признаки. Plex указывает на незнакомые бинарные файлы в каталоге Codecs, неожиданные дочерние процессы и соединения с proxystream.st. До очистки сохраните свидетельства о процессах, сети и файлах. Сравните наблюдения с датированным бюллетенем и расследуйте необъяснимую активность, не считая совпадение имени файла окончательным доказательством.
• Восстановите систему и защитите аккаунт. Когда компрометацию нельзя исключить, Plex рекомендует пересоздать систему с нуля, завершить все сеансы аккаунта и сменить пароль. Проверьте, к чему сервис мог получить доступ. С чистого устройства изучите список Authorized Devices и удалите неизвестные записи. Согласно документации Plex, удалённые устройства должны снова войти в аккаунт для повторной регистрации. Включите двухфакторную аутентификацию аккаунта и храните коды восстановления в месте, доступном без устройства аутентификации.
• Проверьте восстановленный сервис. Задокументируйте новую версию сервера, осознанно выбранную конфигурацию удалённого доступа и список устройств аккаунта. Проверьте обычное воспроизведение и необходимые интеграции. Ведите запись об инциденте, связывающую сохранённые свидетельства, решения о восстановлении и все сервисные учётные данные, заменённые из-за раскрытия.

Подводные камни

Задержка обновления в пакетном менеджере NAS не доказывает безопасность старого пакета. Не подключайте пересозданный сервер к подозрительному каталогу данных без проверки. Двухфакторная аутентификация усиливает защиту будущих входов, но не подтверждает целостность сервера. Plex также предупреждает, что переключение между участниками Plex Home не вызывает дополнительного запроса второго фактора. Одного отсутствия индикаторов недостаточно, чтобы доказать, что доступный извне хост никогда не был скомпрометирован.