Die vier Plex-Schwachstellen im Einzelnen:
- CVE-2026-96652 (CVSS 5.3) – Server-Side Request Forgery (SSRF)
- CVE-2026-96654 (CVSS 6.9) – unzureichende Neutralisierung kodierter URI-Schemata in einer Webseite
- CVE-2026-96655 (CVSS 5.3) – Server-Side Request Forgery (SSRF)
- CVE-2026-96656 (CVSS 8.6) – externe Kontrolle über Dateinamen oder Pfad
Nach Angaben des Sicherheitsforschers Zach Main, der die Schwachstellen entdeckt und gemeldet hat, kann ein entfernter Angreifer die vier Lücken verketten und so nicht authentifiziert Code ausführen. Behoben wurden die Probleme in Plex Media Server 1.43.3.10861, veröffentlicht am 3. August 2026.
Der Aufnahme in den KEV-Katalog ging eine Veröffentlichung des Sicherheitsforschers boredhackerblog voraus, der feststellte, dass Angreifer die Lücken nutzen, um Kryptowährungs-Miner und Proxy-Schadsoftware auszubringen.
Als ebenfalls aktiv ausgenutzt führt CISA eine DLL-Sideloading-Schwachstelle im Siemens Software Center (CVE-2026-110936, CVSS 8.4), die in ClickFix-Angriffen über eine Plattform namens Romulus missbraucht wurde. Hinzu kommt eine Command-Injection-Lücke in der SiteGuard Server Edition von EG Secure Solutions (CVE-2026-106931, CVSS 8.5), deren Ausnutzung das japanische Unternehmen bestätigt hat. Weitere Details zu den Angriffen liegen bislang nicht vor.
Die US-Bundesbehörden der Federal Civilian Executive Branch (FCEB) müssen die Korrekturen für CVE-2026-106931, CVE-2026-96656 und CVE-2026-96654 bis zum 23. Oktober 2026 einspielen, die übrigen bis zum 3. November 2026.