Plex Media Server'da Sunucu Taraflı İstek Sahteciliği (SSRF) zafiyeti

Özet: CISA, Plex Media Server’da aktif olarak istismar edilen bir SSRF zafiyeti (CVE-2026-96655) hakkında uyarıda bulundu. Bu zafiyet, kimliği doğrulanmış bir kullanıcının ‘/video/:/transcode/universal’ yolu üzerinden rastgele dahili veya harici adreslere istek göndermesine olanak tanıyor.

Plex Media Server’da, kimliği doğrulanmış kullanıcıların sunucu taraflı istek sahteciliği (SSRF) yapmasına olanak tanıyan kritik bir zafiyet (CVE-2026-96655) keşfedildi. Bu zafiyet, CISA KEV kataloğunda yer alıyor ve aktif olarak istismar edildiği belirtiliyor. Bu durum, Plex sunucularının iç ağ güvenliği için ciddi bir tehdit oluşturuyor.

SSRF zafiyeti, bir uygulamanın, saldırganın kontrolündeki bir URL’ye istek göndermesiyle ortaya çıkar. Plex özelinde, ‘/video/:/transcode/universal’ path parametresi üzerinden kimliği doğrulanmış bir kullanıcı, Plex sunucusunun bulunduğu ağdaki diğer dahili sistemlere veya internet üzerindeki rastgele adreslere istek gönderebilir. Bu, dahili ağ taraması, port taraması veya diğer dahili servislerin istismarı için bir pivot noktası sağlar.

Canlı sistemlerde, bu zafiyetin istismar edilmesi, Plex sunucusunun bulunduğu ağdaki diğer sistemlere erişim sağlamak için kullanılabilir. Bir saldırgan, bu sayede dahili ağdaki hassas servislere ulaşabilir, güvenlik duvarı arkasındaki sistemleri keşfedebilir veya diğer zafiyetlerle zincirleyerek daha geniş bir saldırı gerçekleştirebilir. Özellikle bu zafiyetin diğer Plex zafiyetleriyle (CVE-2026-96652, CVE-2026-96654, CVE-2026-96656) zincirlenebilir olması, risk seviyesini artırıyor.

Plex Media Server yöneticilerinin, üreticinin yayınladığı güncellemeleri derhal uygulaması ve sunucularının ağ segmentasyonunu gözden geçirmesi önemlidir. Ayrıca, Plex sunucularının minimum yetki prensibiyle çalıştırılması ve dahili ağdaki diğer kritik sistemlerden izole edilmesi gerekmektedir.

🔗 Kaynak: CISA KEV Catalog
📡 Takip edilen kaynaklar ve akış: Radar