CISA heeft vier kwetsbaarheden toegevoegd aan de Known Exploited Vulnerabilities (KEV)-catalogus, waaronder een set problemen in Plex Media Server die samen bekendstaat als Plex2Shell. Tegelijkertijd zijn er ook twee andere fouten gemarkeerd als actief misbruikt: een DLL-sideloadingkwetsbaarheid in Siemens Software Center en een command injection in EG Secure Solutions SiteGuard Server Edition. Voor organisaties betekent dit: wacht niet af, maar zorg dat je Plex2Shell patchen (en de overige fixes) als prioriteit meeneemt.
Beveiligingsonderzoekers stellen dat aanvallers meerdere Plex2Shell-issues kunnen combineren om zonder authenticatie te komen tot remote code execution. Daarnaast is gemeld dat threat actors de kwetsbaarheden inzetten voor het installeren van cryptominers en proxy-malware.
Waarom CISA Plex2Shell patchen nu extra benadrukt
De KEV-catalogus is bedoeld om duidelijk te maken welke kwetsbaarheden aantoonbaar worden misbruikt in het wild. Door Plex2Shell op die lijst te plaatsen, geeft CISA een krachtige signaalfunctie af: dit zijn geen theoretische risico’s, maar problemen die al worden uitgebuit.
Volgens de bron ging het om vier Plex Media Server-kwetsbaarheden met verschillende impactscores. De belangrijkste praktische zorg is dat een remote aanvaller de gebreken kan ketenen tot unauthenticated remote code execution.
De Plex2Shell-kwetsbaarheden op een rij
De vier gemelde Plex Media Server issues die onder Plex2Shell vallen zijn:
- CVE-2026-96652 (CVSS 5.3): server-side request forgery (SSRF)
- CVE-2026-96654 (CVSS 6.9): onjuiste neutralisatie van encoded URI-schemes in een webpagina
- CVE-2026-96655 (CVSS 5.3): opnieuw een SSRF-kwetsbaarheid
- CVE-2026-96656 (CVSS 8.6): externe controle over bestandsnaam of pad
De issues zijn volgens de bron verholpen in de release Plex Media Server 1.43.3.10861 (beschikbaar gekomen op 3 augustus 2026). Dat maakt het patchen relatief concreet: als je deze versies nog niet hebt, is het zaak om direct te beoordelen en te upgraden.
Concrete dreiging: van cryptominers tot proxy-malware
Naast de technische mogelijkheid tot remote code execution, wijst CISA ook op hoe aanvallers de kwetsbaarheden gebruiken. De bron vermeldt dat threat actors de flaws zouden inzetten voor het deployen van cryptocurrency miners en proxy malware.
Dat betekent dat “alleen” dat je Plex(Media) gebruikt geen lage-risico situatie hoeft te zijn. Als de software bereikbaar is vanaf het internet (of via een gecompromitteerde tussenlaag), kan de impact al snel escaleren naar overbelasting van systemen, datastromen via malafide proxy’s of verdere aanvallen binnen je omgeving.
Ook Siemens en SiteGuard staan op de radar
CISA heeft niet alleen Plex2Shell hoog op de agenda gezet. Twee andere kwetsbaarheden zijn eveneens gemarkeerd als actief uitgebuit:
- Siemens Software Center: een DLL sideloading kwetsbaarheid, CVE-2026-110936 (CVSS 8.4). Volgens de bron wordt dit misbruikt in ClickFix-aanvallen via een platform genaamd Romulus.
- EG Secure Solutions SiteGuard Server Edition: een command injection bug, CVE-2026-106931 (CVSS 8.5). De Japanse leverancier bevestigt dat deze kwetsbaarheid wordt misbruikt. In de bron staan verder geen technische exploitatiedetails.
Als je die producten in gebruik hebt, is het verstandig om de aandacht niet uitsluitend op Plex Media Server te richten. Maak er een gecombineerde patchronde van, zodat je niet per ongeluk één schakel laat staan.
Welke actietermijnen hanteert CISA?
Voor de Federal Civilian Executive Branch (FCEB)-agents hanteert CISA specifieke deadlines. In de bron staan deze nadrukkelijk genoemd:
- Voor CVE-2026-106931, CVE-2026-96656 en CVE-2026-96654: uiterlijk 23 oktober 2026.
- Voor de overige gemarkeerde issues: uiterlijk 3 november 2026.
Ook als je organisatie geen FCEB-status heeft, zijn dit praktische referentiedata. Realistisch gezien: hoe eerder je update en controle uitvoert, hoe kleiner de kans dat je in de periode van uitbuiting blijft hangen.
Zo pak je Plex2Shell patchen praktisch aan
Een patchactie is meer dan “updaten en klaar”. Gebruik een korte werkwijze die je organisatie meteen uitvoerbaar maakt:
- Inventariseer welke Plex Media Server versies er draaien en of het systeem extern bereikbaar is.
- Werk bij naar Plex Media Server 1.43.3.10861 (volgens de bron de fix voor Plex2Shell).
- Controleer op ongebruikelijke netwerkverbindingen, vooral als er SSRF-risico’s spelen.
- Check of je ook Siemens Software Center en SiteGuard Server Edition in scope hebt en plan de bijbehorende fixes.
Wil je breder kijken naar aanpak en impact na een incident? Lees dan ook Ahold Delhaize herstelt na cyberaanval: wat nu? voor denkrichtingen over herstel en vervolgacties.
Let extra op: ketenbaarheid en “vergeten” blootstelling
Het specifieke punt bij Plex2Shell is de ketenbaarheid: aanvallers zouden meerdere kwetsbaarheden kunnen combineren tot unauthenticated remote code execution. Dat maakt één afzonderlijke correctie mogelijk minder geruststellend als je omgeving nog half kwetsbaar is.
Daarnaast onderschatten veel organisaties hoe systemen worden blootgesteld. Denk aan poorten, reverse proxies, beheerinterfaces of misconfiguraties in toegangsregels. Als Plex Media Server via internet bereikbaar is, is Plex2Shell patchen niet alleen een software-update, maar ook een beveiligingsmaatregel voor de hele toegangsketen.
Voor organisaties die vooral met PHP-achtige RCE-issues te maken kregen, kan de denklijn overeenkomen: zodra er een reële kans op remote code execution is, moet je patchen en tegelijk controleren. Een vergelijkbare insteek vind je in PHP2Shell: aanpak voor kritieke PHP RCE-lekken.
Afsluiting: patch Plex, maar voorkom vooral dat je wacht
De kern is helder: CISA zet Plex2Shell en andere, actief misbruikte kwetsbaarheden op de KEV-lijst. Voor jou betekent dit dat uitstel risicovol is. Door snel te upgraden naar de door CISA genoemde fix voor Plex Media Server en tegelijk Siemens en SiteGuard mee te nemen, verklein je de kans dat aanvallers jouw omgeving gebruiken voor verdere infiltratie of het plaatsen van malware zoals miners of proxy’s.
Pak het daarom pragmatisch aan: inventariseren, patchen, controleren en de externe blootstelling van jouw diensten nalopen. Zo houd je de schade beperkt en voorkom je dat een bekende fout een echte incident wordt.
Bron: https://thehackernews.com/2026/10/cisa-orders-federal-agencies-to-patch.html
