Во вторник Агентство по кибербезопасности и защите инфраструктуры США (CISA) внесло шесть уязвимостей в каталог известных эксплуатируемых уязвимостей KEV. Четыре относятся к Plex Media Server, ещё по одной обнаружены в Siemens Software Center и EG Secure Solutions SiteGuard Server Edition. Для федеральных ведомств исполнительной власти США CISA назначила сроки установки исправлений.
Четыре проблемы Plex получили общее название Plex2Shell. Исследователь безопасности Зак Мейн обнаружил их и сообщил о них. По его оценке, злоумышленник может связать все четыре уязвимости в цепочку и выполнить код на сервере удалённо, не проходя аутентификацию.
В цепочку входят CVE-2026-96652 и CVE-2026-96655: обе позволяют подделывать запросы от имени сервера (SSRF), их оценка CVSS составляет 5,3. CVE-2026-96654 получила 6,9 балла: ошибка связана с некорректной обработкой закодированных схем URI на веб-странице. Наиболее высокий балл среди четырёх, 8,6, у CVE-2026-96656. Она позволяет внешнему источнику управлять именем или путём файла.
Исправления для Plex появились в версии Plex Media Server 1.43.3.10861, выпущенной 3 августа 2026 года. Именно к ней следует обновиться, чтобы закрыть перечисленные уязвимости.
CISA также добавила в каталог CVE-2026-110936 в Siemens Software Center. Уязвимость DLL sideloading оценена в 8,4 балла CVSS. По имеющимся данным, её использовали в атаках ClickFix с применением платформы Romulus.
Шестая проблема, CVE-2026-106931, затрагивает EG Secure Solutions SiteGuard Server Edition. Это уязвимость внедрения команд с оценкой 8,5. Японская компания подтвердила, что её уже эксплуатируют, однако подробностей о характере атак пока не сообщалось.
Федеральным гражданским ведомствам исполнительной власти США CISA предписала устранить три уязвимости до 23 октября 2026 года: CVE-2026-106931, CVE-2026-96656 и CVE-2026-96654. Для остальных трёх установлен срок до 3 ноября 2026 года: CVE-2026-96652, CVE-2026-96655 и CVE-2026-110936.
Изображение носит иллюстративный характер
Четыре проблемы Plex получили общее название Plex2Shell. Исследователь безопасности Зак Мейн обнаружил их и сообщил о них. По его оценке, злоумышленник может связать все четыре уязвимости в цепочку и выполнить код на сервере удалённо, не проходя аутентификацию.
В цепочку входят CVE-2026-96652 и CVE-2026-96655: обе позволяют подделывать запросы от имени сервера (SSRF), их оценка CVSS составляет 5,3. CVE-2026-96654 получила 6,9 балла: ошибка связана с некорректной обработкой закодированных схем URI на веб-странице. Наиболее высокий балл среди четырёх, 8,6, у CVE-2026-96656. Она позволяет внешнему источнику управлять именем или путём файла.
Исправления для Plex появились в версии Plex Media Server 1.43.3.10861, выпущенной 3 августа 2026 года. Именно к ней следует обновиться, чтобы закрыть перечисленные уязвимости.
CISA также добавила в каталог CVE-2026-110936 в Siemens Software Center. Уязвимость DLL sideloading оценена в 8,4 балла CVSS. По имеющимся данным, её использовали в атаках ClickFix с применением платформы Romulus.
Шестая проблема, CVE-2026-106931, затрагивает EG Secure Solutions SiteGuard Server Edition. Это уязвимость внедрения команд с оценкой 8,5. Японская компания подтвердила, что её уже эксплуатируют, однако подробностей о характере атак пока не сообщалось.
Федеральным гражданским ведомствам исполнительной власти США CISA предписала устранить три уязвимости до 23 октября 2026 года: CVE-2026-106931, CVE-2026-96656 и CVE-2026-96654. Для остальных трёх установлен срок до 3 ноября 2026 года: CVE-2026-96652, CVE-2026-96655 и CVE-2026-110936.
