Plex Media Server: цепочка из четырёх CVE попала в каталог CISA

Plex исправила четыре уязвимости в Plex Media Server 1.43.3, которые вместе позволяют неаутентифицированному атакующему выполнить код. 20 октября CISA добавила все четыре CVE в каталог эксплуатируемых уязвимостей; Plex советует владельцам устаревших серверов исходить из того, что они скомпрометированы.

• CVE-2026-96652, 96654, 96655 и 96656 затрагивают сборки до 1.43.3.10861
• Публичный proof of concept появился 16 октября, через четыре дня — запись в KEV
• Атакующие ставили майнеры и прокси, например mylovelyminer и proxystream.st
• Крайний срок устранения двух CVE — 23 октября, ещё двух — 3 ноября