Plex Media Server の /player/timeline で SSRF（KEV・CVSS 4.3）

Q: 自分の環境が CVE-2026-96652 の影響を受けるか確認するには？

Plex Plex Media Server（1.43.3.10861 未満） を利用している場合、稼働バージョンが影響範囲に含まれるかを一次情報（https://nvd.nist.gov/vuln/detail/CVE-2026-96652）で確認してください。AWS・GCP・Azure・Linux それぞれの対応状況は本ページの「クラウド／OS 別の対応状況」表にまとめています。確認できていない項目は「情報確認中」と明記しており、存在しないパッチ番号・バージョンは記載していません。

情報取得日: 2026/10/20・本ページは公開情報の非公式まとめです

CVE ID	CVE-2026-96652
製品	Plex / Plex Media Server（1.43.3.10861 未満）
CVSS	4.3（Medium） CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:L/I:N/A:N CVSS は当サイトの掲載基準（7.0以上）を下回りますが、CISA KEV に収載され実際の悪用が確認されているため掲載しています。
種別 (CWE)	CWE-918 サーバーサイドリクエストフォージェリ（SSRF）
登録／公開日	2026/10/20
KEV 期限	2026/11/03 まで（米国連邦機関向け目安）
推奨対応	ベンダーの指示に従って緩和策を適用し、CISA の BOD 26-04（リスクに基づくセキュリティ更新の優先順位付け）および「Forensics Triage Requirements」に従うこと。緩和策が利用できない場合はクラウドサービス向けの BOD 26-04 指針に従うか、製品の使用を中止する。各資産のインターネット露出の評価は利用者側の責任である。
出典	https://nvd.nist.gov/vuln/detail/CVE-2026-96652

概要

**Plex Media Server の `/player/timeline` に SSRF の欠陥がある。** NVD の記載によれば、1.43.3.10861 より前の版では、任意の `X-Plex-Token` の値を使う攻撃者が `protocol` パラメータに完全な URL を入れると、Plex のサーバーに攻撃者の指定先へ POST させられる。CVSS 3.1 は **4.3 Medium**（PR:L）。 **悪用の状況。** CISA は2026年10月20日に、Plex Media Server の4件（CVE-2026-96652 / CVE-2026-96654 / CVE-2026-96655 / CVE-2026-96656）をまとめて KEV に収載した。研究者が10月16日に複数の欠陥を連鎖させて遠隔コード実行に至る手順（Plex2Shell）を公開し、翌17日にはハニーポットで実際の攻撃が観測されたと報告されている（仮想通貨の採掘ツールやプロキシの設置）。ランサムウェアでの利用は「不明」。研究者の報告では、観測された攻撃リクエストは `/player/timeline/subscribe` の `protocol` パラメータを使っていた。**評価値は 7.0 未満だが、悪用が確認されているため本サイトの掲載基準（KEV 収載）で載せている。**是正期限は **2026年11月3日**。

クラウド／OS 別の対応状況

各ベンダー公式アドバイザリで確認できた事実に基づき整理しています。確認できていない項目は「情報確認中」と明記し、存在しないパッチ番号・バージョンは記載しません。

AWS / GCP / Azure / Linux いずれも対応区分は同じです: パッチあり（アプリ更新）下の表は環境ごとの補足です。

環境	対応状況	対応方法・備考
AWS (ECS/EC2)	パッチあり（アプリ更新）	EC2 / ECS 上の Plex Media Server を 1.43.3.10861 以上へ更新する。管理画面（32400 番）をインターネットに直接出さず、セキュリティグループで到達元を絞る。 AWS から本 CVE 個別の速報は確認できていない（2026-10-21 時点）。AWS 側の対処では直らない。参照リンク
GCP	パッチあり（アプリ更新）	Compute Engine / GKE 上の Plex Media Server を 1.43.3.10861 以上へ更新し、ファイアウォールルールで到達元を絞る。 GCP から本 CVE 個別の速報は確認できていない（2026-10-21 時点）。参照リンク
Azure	パッチあり（アプリ更新）	Azure VM / AKS 上の Plex Media Server を 1.43.3.10861 以上へ更新し、NSG で到達元を絞る。 Azure から本 CVE 個別の速報は確認できていない（2026-10-21 時点）。参照リンク
Linux	パッチあり（アプリ更新）	Linux 上の Plex Media Server（Plex 配布のパッケージ・Docker イメージ）を 1.43.3.10861 以上へ更新する。 Plex Media Server は Plex 社の配布物で、Ubuntu / Red Hat / Debian の公式リポジトリの修正対象ではない。参照リンク

解決の方向性（パッチ／回避策／代替）

**Plex Media Server を 1.43.3.10861 以上に上げる。** CISA の公開アドバイザリ（VA-26-266-01・2026年9月23日）と NVD は、いずれも 1.43.3.10861 より前の版を対象とし、この版を修正版としている。同時に公開された4件（CVE-2026-96652 / 96654 / 96655 / 96656）は連鎖して使われるため、1件だけでなくまとめて解消する。 **観測された攻撃の入口に近い。** 研究者のハニーポット報告では、`/player/timeline/subscribe` への `protocol` パラメータ付きのリクエストが攻撃の起点として記録されている。Web サーバーやリバースプロキシのログでこのパスへのアクセスを確かめる。 **露出を減らす。** Plex の管理画面・API をインターネットに直接出さず、VPN や認証付きのリバースプロキシの内側に置く。Plex 公式の回避策は確認できていない（これは一般的な縮小策である）。 **侵害の確認。** 公開版より前から外に出ていたサーバーは、身に覚えのない採掘ツール（xmrig など）やプロキシのプロセス、Plex のホストからの不審な外向き通信が無いかを確かめる。 **完了条件**は、全ての Plex Media Server が 1.43.3.10861 以上であること。

よくある質問（CVE-2026-96652）

CVE-2026-96652（Plex Media Server）の影響は？

Medium（CVSS 4.3）に分類されるPlex Plex Media Server（1.43.3.10861 未満）の脆弱性です。**Plex Media Server の `/player/timeline` に SSRF の欠陥がある。** NVD の記載によれば、1.43.3.10861 より前の版では、任意の `X-Plex-Token` の値を使う攻撃者が `protocol` パラメータに完全な URL を入れると、Plex のサーバーに攻撃者の指定先へ POST させられる。CVSS 3.1 は **4.3 Medium**（PR:L）。 **悪用の状況。** CISA は2026年10月20日に、Plex Media Server の4件（CVE-2026-96652 / CVE-2026-96654 / CVE-2026-96655 / CVE-2026-96656）をまとめて KEV に収載した。研究者が10月16日に複数の欠陥を連鎖させて遠隔コード実行に至る手順（Plex2Shell）を公開し、翌17日にはハニーポットで実際の攻撃が観測されたと報告されている（仮想通貨の採掘ツールやプロキシの設置）。ランサムウェアでの利用は「不明」。研究者の報告では、観測された攻撃リクエストは `/player/timeline/subscribe` の `protocol` パラメータを使っていた。**評価値は 7.0 未満だが、悪用が確認されているため本サイトの掲載基準（KEV 収載）で載せている。**是正期限は **2026年11月3日**。

CVE-2026-96652 の対応方法・回避策は？

自分の環境が CVE-2026-96652 の影響を受けるか確認するには？

Plex Plex Media Server（1.43.3.10861 未満）を利用している場合、稼働バージョンが影響範囲に含まれるかを一次情報（https://nvd.nist.gov/vuln/detail/CVE-2026-96652）で確認してください。AWS・GCP・Azure・Linux それぞれの対応状況は本ページの「クラウド／OS 別の対応状況」表にまとめています。確認できていない項目は「情報確認中」と明記しており、存在しないパッチ番号・バージョンは記載していません。

CVE-2026-96652 は実際に悪用されている？

はい。CISA の既知の悪用された脆弱性カタログ（KEV）に登録されており、実環境での悪用が確認されています。米国連邦機関向けの対応期限の目安は 2026/11/03 です。推奨される対応: ベンダーの指示に従って緩和策を適用し、CISA の BOD 26-04（リスクに基づくセキュリティ更新の優先順位付け）および「Forensics Triage Requirements」に従うこと。緩和策が利用できない場合はクラウドサービス向けの BOD 26-04 指針に従うか、製品の使用を中止する。各資産のインターネット露出の評価は利用者側の責任である。