CVE-2026-96656: escritura arbitraria de archivos en Plex Media Server

CVE-2026-96656: una vulnerabilidad explotada activamente en Plex Media Server

La Agencia de Seguridad de Infraestructura y Ciberseguridad de Estados Unidos (CISA) incorporó CVE-2026-96656 a su catálogo de Vulnerabilidades Conocidas Explotadas (KEV) el 20 de octubre de 2026. La inclusión confirma que existe evidencia de explotación activa y convierte su corrección en una prioridad operativa, aunque su puntuación CVSS sea 7.2 (alta).

La falla afecta a Plex Media Server y corresponde a CWE-73: control externo de nombre o ruta de archivo. Según la descripción publicada por CISA, un usuario con privilegios administrativos puede controlar una ruta o nombre de archivo para escribir archivos arbitrarios. Esos archivos podrían ejecutarse cuando el servidor los cargue, lo que transforma una debilidad de escritura en una vía potencial de ejecución de código dentro del contexto del servicio.

Análisis Técnico

Vector de Ataque

El problema aparece cuando una entrada controlable por un administrador llega a una operación de archivos sin una validación y normalización suficientemente estrictas. Si la aplicación acepta componentes como nombres, rutas absolutas o secuencias de navegación sin confinarlos a un directorio autorizado, el atacante puede orientar la escritura hacia una ubicación no prevista.

El escenario descrito por CISA requiere una cuenta administrativa; no debe interpretarse como una explotación remota sin autenticación por sí sola. Sin embargo, el riesgo aumenta de forma importante cuando una cuenta privilegiada ha sido comprometida, cuando el panel administrativo está expuesto a Internet o cuando la vulnerabilidad se combina con otras fallas. CISA advierte expresamente que puede encadenarse con CVE-2026-96652, CVE-2026-96654 y CVE-2026-96655.

En una cadena de ataque, la escritura arbitraria puede utilizarse para depositar archivos en ubicaciones que Plex Media Server procese o cargue posteriormente. El resultado concreto depende de la plataforma, los permisos del proceso y la ruta elegida. Por ello, la revisión no debe limitarse al binario: también es necesario examinar privilegios del servicio, exposición de la consola y cambios recientes en archivos.

Impacto Operacional y de Seguridad

Ejecución de contenido malicioso: un archivo escrito en una ubicación cargada por el servicio podría ejecutarse con sus permisos.
Persistencia: la capacidad de crear o reemplazar archivos puede facilitar mecanismos que sobrevivan a reinicios.
Alteración del servicio: archivos de configuración o componentes manipulados pueden afectar disponibilidad e integridad.
Movimiento posterior: una instalación de Plex comprometida puede convertirse en un punto de apoyo dentro de la red.

CISA informa que el uso de esta vulnerabilidad en campañas de ransomware es desconocido. Esto no reduce la urgencia: su presencia en KEV demuestra explotación activa observada y obliga a tratarla como una amenaza vigente.

Productos Afectados

El producto afectado es Plex Media Server. El aviso oficial de Plex identifica como alcance las versiones 1.43.2 y anteriores. Los administradores deben comprobar la versión realmente instalada en cada servidor y contrastarla con el aviso del fabricante, especialmente en sistemas que no reciben actualizaciones automáticas o que permanecen expuestos a Internet.

Recomendaciones y Mitigación

Acciones Inmediatas Recomendadas

Aplicar de inmediato la actualización o mitigación indicada por Plex en su aviso oficial. No posponer la acción por tratarse de un CVSS inferior a 9.0.
Inventariar todas las instancias de Plex Media Server, incluidas instalaciones domésticas, laboratorios, servidores secundarios y sistemas publicados mediante proxy inverso.
Reducir la exposición administrativa: restringir el acceso a redes confiables o VPN y revisar cuentas, sesiones y tokens con privilegios.
Buscar evidencia de abuso: revisar archivos creados o modificados recientemente, rutas de configuración, directorios cargados por el servicio, procesos hijos y conexiones salientes inusuales.
Aplicar mínimo privilegio a la cuenta del servicio para reducir el impacto de una escritura arbitraria.
Atender la cadena completa: evaluar también CVE-2026-96652, CVE-2026-96654 y CVE-2026-96655, sin asumir que corregir una sola pieza elimina todos los caminos de ataque.

Para organismos civiles federales de Estados Unidos, CISA fijó como fecha límite el 23 de octubre de 2026. Las demás organizaciones pueden usar ese plazo como referencia de urgencia y aplicar la guía de BOD 26-04, priorizando exposición, evidencia de explotación y consecuencias operacionales. Si no existe una mitigación viable, CISA indica considerar la discontinuación del producto.