NASでも利用されるメディアサーバを狙った脆弱性攻撃に注意

メディア配信ソフト「Plex Media Server（PMS）」に脆弱性が見つかった問題で、認証なしにリモートからコードを実行する攻撃が広がっている。NAS向けのアドオンアプリとしても広く利用されており、注意が必要だ。

同ソフトウェアを提供するPlexは、2026年7月にリリースしたアップデートで4件の脆弱性「CVE-2026-96652」「CVE-2026-96654」「CVE-2026-96655」「CVE-2026-96656」を修正。9月にはセキュリティ上の重要な修正を行ったことを明らかにし、利用者に注意を呼びかけていた。

これら脆弱性を組み合わせた攻撃は「Plex2Shell」とも呼ばれている。サーバサイドリクエストフォージェリ（SSRF）や、トークンを取得できるURLの処理不備など、攻撃の連鎖を通じて不正なファイルを書き込むことが可能。

10月16日に実証コードが公開され、その後は攻撃が観測されており、Plexでは同月19日、インターネットに公開された未更新サーバへの攻撃が広がっているとして注意を喚起。米サイバーセキュリティインフラストラクチャセキュリティ庁（CISA）は同月20日、これら4件の脆弱性を「悪用が確認された脆弱性カタログ（KEV）」へ登録した。

脆弱性が悪用され、侵害されたサーバでは、暗号資産をマイニングするソフトウェアや通信を中継するプロキシなど、利用者の意図しないソフトウェアが導入される被害なども確認されている。

（Security NEXT - 2026/11/10 ）ツイート

NASでも利用されるメディアサーバを狙った脆弱性攻撃に注意

関連リンク

PR

関連記事