CVE-2026-96655: vulnerabilidad SSRF en Plex Media Server

CVE-2026-96655: SSRF explotada activamente en Plex Media Server

CISA incorporó CVE-2026-96655 a su catálogo de Vulnerabilidades Conocidas Explotadas (KEV) el 20 de octubre de 2026. La vulnerabilidad afecta a Plex Media Server y corresponde a una falsificación de solicitudes del lado del servidor, o SSRF, clasificada como CWE-918. Aunque su puntuación CVSS informada es 4.3 (media), su presencia en KEV confirma explotación activa y obliga a priorizar la mitigación por encima de lo que sugeriría la puntuación aislada.

El problema puede permitir que un usuario autenticado provoque que el servidor Plex realice solicitudes hacia direcciones internas o externas arbitrarias mediante un parámetro de la ruta /video/:/transcode/universal. Esto desplaza la solicitud desde el equipo del atacante hacia el propio servidor, que puede tener acceso a redes, servicios o interfaces que no son alcanzables directamente desde Internet.

Análisis Técnico

Vector de Ataque

En una SSRF, la aplicación acepta o construye una ubicación de red a partir de datos controlados por el usuario sin aplicar una validación suficientemente restrictiva. En este caso, el flujo vulnerable se encuentra asociado a la función de transcodificación universal. Un atacante con acceso autenticado puede manipular el parámetro de ruta para inducir solicitudes originadas desde Plex Media Server.

La consecuencia técnica no se limita a recuperar contenido externo. Dependiendo de la topología y los permisos del host, el servidor podría alcanzar servicios de administración internos, aplicaciones enlazadas únicamente a interfaces privadas, endpoints de metadatos de nube u otros recursos de confianza. La respuesta observable, los códigos de error y los tiempos de conexión también pueden facilitar reconocimiento de red aun cuando el contenido completo no sea devuelto.

CISA advierte además que CVE-2026-96655 puede encadenarse con CVE-2026-96652, CVE-2026-96654 y CVE-2026-96656. Esta observación es relevante: la severidad operacional de una debilidad cambia cuando forma parte de una cadena capaz de superar controles, ampliar acceso o aprovechar otra vulnerabilidad. No debe asumirse que el requisito de autenticación elimina el riesgo, especialmente en instalaciones expuestas a Internet o con cuentas comprometidas.

Tipo: Server-Side Request Forgery (CWE-918).
Acceso requerido: usuario autenticado.
Componente señalado: ruta /video/:/transcode/universal.
Alcance potencial: destinos internos o externos accesibles desde el servidor.
Estado: explotación activa confirmada por inclusión en CISA KEV.
Ransomware: CISA indica estado desconocido; no existe confirmación en el payload KEV proporcionado.

Impacto Operacional y de Seguridad

Una explotación exitosa puede convertir a Plex Media Server en un intermediario para consultar recursos protegidos por segmentación de red. Esto puede provocar exposición de información, reconocimiento interno, interacción no autorizada con servicios locales y preparación de ataques posteriores. El impacto efectivo depende de los servicios accesibles desde el host, de las credenciales o tokens disponibles en ellos y de la capacidad del atacante para observar las respuestas.

Las organizaciones deben evaluar el riesgo según la exposición real del activo. Un servidor publicado directamente en Internet, instalado en una red doméstica con dispositivos sensibles o desplegado en una nube con acceso a servicios de metadatos requiere atención inmediata. También deben revisarse accesos autenticados sospechosos, porque el prerrequisito de cuenta puede satisfacerse mediante credenciales reutilizadas, sesiones robadas o cuentas compartidas.

Productos y Versiones Afectadas

El producto afectado es Plex Media Server. El aviso oficial de Plex identifica como alcance de la actualización de seguridad las versiones 1.43.2 y anteriores. Los administradores deben confirmar la versión instalada desde la interfaz de administración o el mecanismo de inventario corporativo y seguir estrictamente las instrucciones vigentes del fabricante.

No se deben inferir plataformas no mencionadas ni asumir que una instalación queda protegida solo por no estar públicamente indexada. La posibilidad de encadenamiento y el acceso desde redes internas hacen necesario revisar instancias privadas, laboratorios, NAS y servidores administrados por terceros.

Recomendaciones y Mitigación

Acciones Inmediatas Recomendadas

Aplicar la actualización o mitigación publicada por Plex y verificar que la instancia ya no ejecute una versión vulnerable.
Inventariar todas las instancias, incluyendo servidores personales o departamentales que puedan quedar fuera de la gestión centralizada.
Reducir la exposición a Internet y limitar el acceso administrativo y autenticado a usuarios y redes necesarias.
Restringir el tráfico saliente del proceso o contenedor de Plex hacia redes internas, interfaces de administración y endpoints de metadatos que no sean indispensables.
Revisar cuentas, sesiones y registros en busca de accesos inusuales y solicitudes relacionadas con /video/:/transcode/universal.
Buscar indicios de encadenamiento con CVE-2026-96652, CVE-2026-96654 y CVE-2026-96656 sin afirmar explotación cuando no existan evidencias.
Preservar evidencia y seguir los requisitos de triaje forense de CISA si existen señales de compromiso.

Para organismos civiles federales de Estados Unidos, CISA fija como fecha límite el 3 de noviembre de 2026. Para otras organizaciones, esa fecha constituye una referencia máxima y no una razón para postergar la corrección. La acción requerida por CISA exige aplicar mitigaciones del proveedor conforme a BOD 26-04, evaluar la exposición a Internet y discontinuar el uso cuando no exista una mitigación viable.

Referencias Oficiales

Prioridad recomendada: alta desde el punto de vista operativo por explotación activa, pese a la clasificación CVSS media. La puntuación base debe complementarse con contexto de amenaza, exposición del activo y posibilidad de encadenamiento.