Plex Media Server の searchOne で他プラグインの関数を呼べる（KEV・CVSS 6.5）

Q: 自分の環境が CVE-2026-96654 の影響を受けるか確認するには？

Plex Plex Media Server（1.43.3.10861 未満） を利用している場合、稼働バージョンが影響範囲に含まれるかを一次情報（https://nvd.nist.gov/vuln/detail/CVE-2026-96654）で確認してください。AWS・GCP・Azure・Linux それぞれの対応状況は本ページの「クラウド／OS 別の対応状況」表にまとめています。確認できていない項目は「情報確認中」と明記しており、存在しないパッチ番号・バージョンは記載していません。

情報取得日: 2026/10/20・本ページは公開情報の非公式まとめです

CVE ID	CVE-2026-96654
製品	Plex / Plex Media Server（1.43.3.10861 未満）
CVSS	6.5（Medium） CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:L/I:L/A:N CVSS は当サイトの掲載基準（7.0以上）を下回りますが、CISA KEV に収載され実際の悪用が確認されているため掲載しています。
種別 (CWE)	CWE-84 URI スキームの不適切な無害化
登録／公開日	2026/10/20
KEV 期限	2026/10/23 まで（米国連邦機関向け目安）
推奨対応	ベンダーの指示に従って緩和策を適用し、CISA の BOD 26-04（リスクに基づくセキュリティ更新の優先順位付け）および「Forensics Triage Requirements」に従うこと。緩和策が利用できない場合はクラウドサービス向けの BOD 26-04 指針に従うか、製品の使用を中止する。各資産のインターネット露出の評価は利用者側の責任である。
出典	https://nvd.nist.gov/vuln/detail/CVE-2026-96654

概要

**Plex Media Server が `searchOne` に含まれる URL の値を正しく無害化しない欠陥がある。** NVD の記載によれば、1.43.3.10861 より前の版では、攻撃者が他のプラグインの関数を呼び出し、引数を自由に渡せる。CVSS 3.1 は **6.5 Medium**（PR:N・認証不要）。 **悪用の状況。** CISA は2026年10月20日に、Plex Media Server の4件（CVE-2026-96652 / CVE-2026-96654 / CVE-2026-96655 / CVE-2026-96656）をまとめて KEV に収載した。研究者が10月16日に複数の欠陥を連鎖させて遠隔コード実行に至る手順（Plex2Shell）を公開し、翌17日にはハニーポットで実際の攻撃が観測されたと報告されている（仮想通貨の採掘ツールやプロキシの設置）。ランサムウェアでの利用は「不明」。**評価値は 7.0 未満だが、悪用が確認されているため本サイトの掲載基準（KEV 収載）で載せている。**

クラウド／OS 別の対応状況

各ベンダー公式アドバイザリで確認できた事実に基づき整理しています。確認できていない項目は「情報確認中」と明記し、存在しないパッチ番号・バージョンは記載しません。

AWS / GCP / Azure / Linux いずれも対応区分は同じです: パッチあり（アプリ更新）下の表は環境ごとの補足です。

環境	対応状況	対応方法・備考
AWS (ECS/EC2)	パッチあり（アプリ更新）	EC2 / ECS 上の Plex Media Server を 1.43.3.10861 以上へ更新する。管理画面（32400 番）をインターネットに直接出さず、セキュリティグループで到達元を絞る。 AWS から本 CVE 個別の速報は確認できていない（2026-10-21 時点）。AWS 側の対処では直らない。参照リンク
GCP	パッチあり（アプリ更新）	Compute Engine / GKE 上の Plex Media Server を 1.43.3.10861 以上へ更新し、ファイアウォールルールで到達元を絞る。 GCP から本 CVE 個別の速報は確認できていない（2026-10-21 時点）。参照リンク
Azure	パッチあり（アプリ更新）	Azure VM / AKS 上の Plex Media Server を 1.43.3.10861 以上へ更新し、NSG で到達元を絞る。 Azure から本 CVE 個別の速報は確認できていない（2026-10-21 時点）。参照リンク
Linux	パッチあり（アプリ更新）	Linux 上の Plex Media Server（Plex 配布のパッケージ・Docker イメージ）を 1.43.3.10861 以上へ更新する。 Plex Media Server は Plex 社の配布物で、Ubuntu / Red Hat / Debian の公式リポジトリの修正対象ではない。参照リンク

解決の方向性（パッチ／回避策／代替）

**Plex Media Server を 1.43.3.10861 以上に上げる。** CISA の公開アドバイザリ（VA-26-266-01・2026年9月23日）と NVD は、いずれも 1.43.3.10861 より前の版を対象とし、この版を修正版としている。同時に公開された4件（CVE-2026-96652 / 96654 / 96655 / 96656）は連鎖して使われるため、1件だけでなくまとめて解消する。 **認証不要の入口になりうる。** 本件は認証なしで届く評価であり、公開された攻撃手順では他の欠陥と組み合わせて使われている。単体の点数が低くても後回しにしない。 **露出を減らす。** Plex の管理画面・API をインターネットに直接出さず、VPN や認証付きのリバースプロキシの内側に置く。Plex 公式の回避策は確認できていない（これは一般的な縮小策である）。 **侵害の確認。** 公開版より前から外に出ていたサーバーは、身に覚えのない採掘ツール（xmrig など）やプロキシのプロセス、Plex のホストからの不審な外向き通信が無いかを確かめる。 **完了条件**は、全ての Plex Media Server が 1.43.3.10861 以上であること。

よくある質問（CVE-2026-96654）

CVE-2026-96654（Plex Media Server）の影響は？

Medium（CVSS 6.5）に分類されるPlex Plex Media Server（1.43.3.10861 未満）の脆弱性です。**Plex Media Server が `searchOne` に含まれる URL の値を正しく無害化しない欠陥がある。** NVD の記載によれば、1.43.3.10861 より前の版では、攻撃者が他のプラグインの関数を呼び出し、引数を自由に渡せる。CVSS 3.1 は **6.5 Medium**（PR:N・認証不要）。 **悪用の状況。** CISA は2026年10月20日に、Plex Media Server の4件（CVE-2026-96652 / CVE-2026-96654 / CVE-2026-96655 / CVE-2026-96656）をまとめて KEV に収載した。研究者が10月16日に複数の欠陥を連鎖させて遠隔コード実行に至る手順（Plex2Shell）を公開し、翌17日にはハニーポットで実際の攻撃が観測されたと報告されている（仮想通貨の採掘ツールやプロキシの設置）。ランサムウェアでの利用は「不明」。**評価値は 7.0 未満だが、悪用が確認されているため本サイトの掲載基準（KEV 収載）で載せている。**

CVE-2026-96654 の対応方法・回避策は？

自分の環境が CVE-2026-96654 の影響を受けるか確認するには？

Plex Plex Media Server（1.43.3.10861 未満）を利用している場合、稼働バージョンが影響範囲に含まれるかを一次情報（https://nvd.nist.gov/vuln/detail/CVE-2026-96654）で確認してください。AWS・GCP・Azure・Linux それぞれの対応状況は本ページの「クラウド／OS 別の対応状況」表にまとめています。確認できていない項目は「情報確認中」と明記しており、存在しないパッチ番号・バージョンは記載していません。

CVE-2026-96654 は実際に悪用されている？

はい。CISA の既知の悪用された脆弱性カタログ（KEV）に登録されており、実環境での悪用が確認されています。米国連邦機関向けの対応期限の目安は 2026/10/23 です。推奨される対応: ベンダーの指示に従って緩和策を適用し、CISA の BOD 26-04（リスクに基づくセキュリティ更新の優先順位付け）および「Forensics Triage Requirements」に従うこと。緩和策が利用できない場合はクラウドサービス向けの BOD 26-04 指針に従うか、製品の使用を中止する。各資産のインターネット露出の評価は利用者側の責任である。