CVE-2026-96652: SSRF explotada activamente en Plex Media Server

CVE-2026-96652: una vulnerabilidad SSRF explotada activamente en Plex Media Server

CISA incorporó CVE-2026-96652 a su catálogo Known Exploited Vulnerabilities (KEV) el 20 de octubre de 2026, confirmando que existe evidencia de explotación activa. La vulnerabilidad afecta a Plex Media Server y corresponde a una falsificación de solicitudes del lado del servidor, o Server-Side Request Forgery (SSRF), clasificada como CWE-918. Aunque su puntuación CVSS informada es 4.3 (media), su presencia en KEV eleva la prioridad operacional: la puntuación técnica no debe interpretarse de forma aislada cuando ya existe actividad maliciosa observada.

De acuerdo con la descripción publicada por CISA, un atacante que utilice cualquier valor en X-Plex-Token puede incluir una URL completa en el parámetro protocol y obligar al servidor Plex a realizar una solicitud POST hacia un destino seleccionado por el atacante. CISA también advierte que esta falla puede encadenarse con CVE-2026-96654, CVE-2026-96655 y CVE-2026-96656. Esta mención reproduce el encadenamiento indicado por la fuente KEV y no implica atribuir a esas vulnerabilidades características adicionales no descritas en las fuentes citadas.

Análisis Técnico

Vector de Ataque

En un escenario SSRF, el objetivo no es que el navegador de la víctima visite una dirección, sino que sea el propio servidor vulnerable quien origine la conexión. En CVE-2026-96652, la manipulación del parámetro protocol permite proporcionar una URL completa. Plex Media Server procesa ese valor y puede emitir una solicitud HTTP POST hacia el destino controlado por el atacante.

Este comportamiento rompe el límite de confianza esperado entre parámetros suministrados externamente y las conexiones salientes del servicio. Desde la perspectiva del destino, la solicitud proviene del servidor Plex, no directamente del atacante. Por ello, el riesgo depende de la conectividad y los privilegios de red del host: un servidor con acceso a segmentos internos, paneles administrativos, servicios de infraestructura o endpoints de metadatos puede ofrecer una superficie de pivote más relevante que un equipo fuertemente segmentado.

Precondición descrita: uso de un valor en la cabecera X-Plex-Token.
Entrada manipulada: una URL completa dentro del parámetro protocol.
Acción resultante: Plex Media Server envía una solicitud POST al destino elegido.
Clase: SSRF, identificada como CWE-918.
Contexto de riesgo: explotación activa confirmada por la inclusión en CISA KEV.

Una SSRF puede utilizarse para explorar servicios que no están expuestos directamente a Internet, interactuar con aplicaciones accesibles únicamente desde la red del servidor o producir solicitudes desde una dirección IP de confianza. El efecto concreto dependerá de los destinos alcanzables, de la respuesta de esos servicios y de los controles de salida implementados. No debe asumirse por defecto ejecución remota de código ni acceso a datos: las fuentes oficiales citadas describen una capacidad de solicitud forzada y la posibilidad de encadenamiento, no garantizan por sí solas esos impactos.

Impacto Operacional y de Seguridad

El principal impacto es la posibilidad de usar Plex Media Server como intermediario para solicitudes no autorizadas. En redes domésticas avanzadas, laboratorios, empresas o proveedores que mantengan Plex junto a otros servicios, esto puede debilitar la segmentación lógica y facilitar el reconocimiento interno. También puede generar tráfico hacia infraestructura externa controlada por el atacante, dificultando distinguir una comunicación legítima de una inducida.

El riesgo aumenta si la instancia está expuesta a Internet, si posee rutas hacia redes sensibles o si carece de restricciones de egreso. La posibilidad de encadenarla con otras vulnerabilidades de la misma familia de avisos obliga a evaluar el conjunto del parche y no solo este CVE individual. CISA indica que el uso en campañas de ransomware es desconocido; esto significa que no existe confirmación en el registro suministrado, no que pueda descartarse.

Confidencialidad: posible interacción con servicios internos accesibles desde el servidor.
Integridad: posibilidad de inducir solicitudes POST contra destinos alcanzables.
Disponibilidad: el payload oficial no atribuye de forma específica un impacto de denegación de servicio.
Detección: revisar solicitudes inusuales originadas por el host Plex y destinos externos o internos no esperados.

Productos Afectados

El producto afectado es Plex Media Server. El aviso oficial de Plex se refiere a la versión 1.43.2 y anteriores. Los administradores deben contrastar la versión instalada con la guía vigente del fabricante y aplicar la actualización indicada por Plex. En entornos con imágenes, paquetes o despliegues automatizados, es importante verificar la versión efectiva del proceso en ejecución y no únicamente la etiqueta declarada en el mecanismo de despliegue.

Recomendaciones y Mitigación

Acciones Inmediatas Recomendadas

Actualizar Plex Media Server conforme al aviso oficial del fabricante y confirmar que la instancia ya no ejecuta una versión afectada.
Inventariar todas las instancias, incluidas instalaciones domésticas administradas, servidores de laboratorio, contenedores y sistemas fuera del ciclo habitual de gestión.
Reducir la exposición a Internet y limitar el acceso a las interfaces de Plex a redes y usuarios estrictamente necesarios.
Aplicar filtrado de salida desde el host o segmento de Plex, bloqueando destinos internos sensibles y servicios de metadatos que el servidor no necesite consultar.
Revisar registros de red, proxy, firewall y del sistema en busca de solicitudes POST anómalas originadas por el servidor Plex, especialmente hacia destinos desconocidos o rangos internos atípicos.
Evaluar el posible encadenamiento con los otros CVE señalados por CISA y tratar la actualización como un conjunto de correcciones relacionadas.
Preservar evidencia si se detectan indicadores sospechosos, siguiendo los requisitos de triaje forense asociados a BOD 26-04.

Para organismos civiles del Poder Ejecutivo Federal de Estados Unidos, CISA fijó como fecha límite el 3 de noviembre de 2026. CISA exige aplicar las mitigaciones del fabricante y seguir la directiva BOD 26-04 y sus requisitos de triaje forense. Las organizaciones fuera de ese ámbito deberían usar la fecha como referencia de urgencia, priorizando primero los activos expuestos a Internet y aquellos con conectividad hacia redes de mayor sensibilidad. Si no existe una mitigación aplicable, CISA indica considerar la discontinuación del uso del producto según corresponda.