CISA KEV: Plex, SiteGuard a Siemens pod útoky

CISA zařadila do katalogu KEV šest zneužívaných zranitelností ve třech produktech. Největší část tvoří řetězec chyb Plex Media Serveru, který umožňuje vzdálené spuštění kódu bez přihlášení; další přírůstky se týkají SiteGuard Server Edition a Siemens Software Center.

Plex spojuje čtyři chyby do jednoho útoku. CVE-2026-96652 umožňuje přimět server k odeslání požadavku na zvolenou adresu, CVE-2026-96654 zpřístupňuje interní funkce doplňků a CVE-2026-96655 může posloužit k získání administrátorského tokenu vlastníka serveru. Následná CVE-2026-96656 umožňuje s administrátorskými oprávněními zapisovat soubory prostřednictvím nastavení převodu videa; podvržený obsah v adresáři Codecs se může spustit při načtení. Celý řetězec podle výrobce umožňuje vzdálenému útočníkovi bez účtu spustit kód s právy procesu Plex Media Server.

Záznamy CVE uvádějí pro tyto jednotlivé chyby skóre CVSS 4.0 postupně 5,3, 6,9, 5,3 a 8,6. Jde o hodnocení samostatných zranitelností a jejich vlastních podmínek, nikoli o skóre celého řetězce. Ten dokáže překonat i požadavky na oprávnění, které mají některé jeho dílčí kroky.

Oprava je v Plex Media Server 1.43.3.10861 a novějších verzích. Plex v aktualizaci oznámení z 19. října potvrzuje rozsáhlé útoky na neaktualizované servery dostupné z internetu: napadené stroje slouží k těžbě kryptoměn a jako proxy pro cizí provoz. Provozovatelům staršího veřejně dostupného serveru doporučuje počítat s možnou kompromitací. Vedle aktualizace je třeba hledat neznámé procesy spouštěné Plexem, cizí knihovny v Codecs a neobvyklé vytížení procesoru. Pokud napadení nelze vyloučit, výrobce doporučuje obnovu z čisté instalace, odhlášení všech zařízení a změnu hesla účtu Plex. Za potenciálně vystavená považuje také data a přihlašovací údaje dostupné účtu služby. U NAS může být nutná ruční instalace opraveného balíčku, pokud jej správce aplikací ještě nenabízí.

CVE-2026-106931 zasahuje statistickou funkci SiteGuard Server Edition. Podvržení příkazů operačního systému může vést ke spuštění kódu s právy root nebo SYSTEM. Výrobce uvádí CVSS 4.0 8,5 a CVSS 3.0 7,8; hodnoticí vektory popisují lokální útok s nízkými oprávněními. Podmínkou zranitelnosti je zapnutá statistická funkce, která je ve výchozím nastavení aktivní. Dotčeny jsou verze od 2.20: varianty pro Apache, Nginx a IIS před 8.00 Update5, u FreeBSD varianty Apache a Nginx před 7.00 Update6. Výjimkou jsou verze IIS 3.10 až 4.00 Update4, které podle výrobce zasažené nejsou.

Nápravou je přechod na uvedená opravená vydání nebo použití záplaty, kterou výrobce nabízí i pro některé již nepodporované verze. Ještě před aktualizací či záplatováním je nutné stáhnout a uchovat diagnostické informace z webové správy: oprava může odstranit stopy útoku. EG Secure Solutions zneužívání potvrdila již v oznámení ze 14. října; zařazení do KEV tedy nepředstavuje první zveřejnění problému.

CVE-2026-110936 v Siemens Software Center zneužívá načítání knihoven DLL z nedostatečně kontrolované cesty. Lokální přihlášený útočník může umístit škodlivou knihovnu do prohledávaného adresáře a spustit kód s právy aplikace. Siemens uvádí CVSS 4.0 8,4 a CVSS 3.1 6,7; oba vektory pracují s vysokými oprávněními útočníka. Zranitelné jsou verze před 4.0.9.8, přičemž stávající instalace se mají aktualizovat při příštím spuštění.

V pozorované kampani útočníci distribuovali pravý podepsaný program společně se škodlivými knihovnami mimo oficiální kanály. Siemens podle svých dosavadních zjištění nepotvrdil napadení vlastního aktualizačního systému. Proto má smysl kromě aktualizace hledat nečekané kopie programu a podezřelé knihovny v uživatelských adresářích. Průběh kampaně ClickFix a vodítka pro kontrolu popisuje náš podrobnější článek: ClickFix zneužívá podepsaný Siemens Software Center.