【已支持检测】Plex Media Server 多漏洞串联未授权远程代码执行漏洞（CVE-2026-96652/96654/96655/96656）

▌漏洞描述

Plex Media Server 是 Plex 提供的跨平台媒体服务器，用于影片与音乐库管理、转码播放与远程分享，通常部署在家庭与企业内网，并默认通过 32400 端口对外提供服务。

近日，Plex 发布 1.43.3.10861 版本，修复一条由四个缺陷串联构成的利用链：播放进度接口 /player/timeline 的 protocol 参数仅校验令牌存在，即可携带完整外链地址触发服务端请求；搜索逻辑未正确中和传入地址，可调用其他插件函数并注入参数；转码接口 /video/:/transcode/universal 的路径参数可指向任意内网或外网地址；转码偏好 TranscoderH264Options 被原样拼接进 x264 选项，且服务启动时对编解码目录内的动态库不做签名与执行位校验。未认证攻击者可依次借上述缺陷完成服务端请求伪造、插件函数调用与任意文件写入，最终以 Plex 进程权限执行任意代码。该漏洞已公开利用代码，并于10月20日被收入进KEV目录，建议优先排查处置。

▌利用条件

利用条件： 无需用户凭据，无需受害者交互，默认配置下即受影响。

大致利用链路： 未认证攻击者向 /player/timeline 的 protocol 参数提交完整外链地址 -> 服务端以任意 X-Plex-Token 值放行并按该地址发起 POST 请求 -> 经 /searchOne 的地址注入调用其他插件函数并带入攻击者参数 -> 借 /video/:/transcode/universal 的路径参数访问任意地址，将写入内容随 TranscoderH264Options 拼进 x264 选项落入编解码目录 -> 服务启动时加载该目录内的动态库 -> 在目标设备上执行攻击者指定的命令

▌威胁状态分析

Plex 实例通常直接暴露在公网 32400 端口，并同时承载媒体库、转码任务与远程访问配置。攻击者执行命令后可读取媒体库路径与主机上的账号凭据、植入挖矿程序或代理组件，并以该主机为跳板向内网其他设备横向活动；官方公告未提及该漏洞已被利用。

通过 FOFA 测绘可以看到，截至当前，全球暴露在公网的 Plex Media Server 相关资产约为 2,057,656 条，共涉及 876,860 个独立 IP，其中美国的资产占比较高。

▌排查和修复建议

• 盘点全部 Plex Media Server 实例，核验实际版本与 32400 端口的公网暴露情况。

• 优先处置直接映射公网、已开启远程访问与硬件转码的实例。

• 升级至 1.43.3.10861 或更高版本；升级前备份媒体库与配置文件。

• 官方未发布临时缓解措施；无法立即升级时，将 32400 端口撤出公网并关闭远程访问。

• 排查 Plex 进程树、Codecs 目录内异常动态库与外联流量，并重置 PlexOnlineToken。

▌产品支持情况

华顺信安安全产线产品已支持 Plex Media Server 相关产品组件暴露面风险资产规则识别及漏洞检测，可用于辅助完成资产定位与修复排查。

▌参考

• https://forums.plex.tv/t/plex-media-server/30447/713

• https://www.cve.org/CVERecord?id=CVE-2026-96652

• https://www.cve.org/CVERecord?id=CVE-2026-96654

• https://www.cve.org/CVERecord?id=CVE-2026-96655

• https://www.cve.org/CVERecord?id=CVE-2026-96656

• https://github.com/cisagov/CSAF/blob/develop/csaf_files/IT/white/2026/va-26-266-01.json