2026-10-22 11:58:06 网络安全文章来源：ZONE.CI 全球网 0 阅读模式

速修 | Plex 4 洞串联未授权 RCE CVE-2026-96652

红队安全圈
红队安全圈

红队安全圈

2026年10月21日 08:00
重庆

去阅读

单洞 5.3 的 SSRF，串上三个洞就是 9.8 的未授权 RCE，PoC 公开第二天野外就见真刀真枪。

这个洞本身只是个 SSRF，单看 CVSS 5.3 不起眼，但它是一整条攻击链的入口。四个漏洞串联后可以从一个匿名请求直接打到反弹 shell，武器化 PoC 已经公开，攻击流量已在野外捕获，目前进入 CISA KEV 目录。自己搭了 Plex 服务器、又把 32400 端口映射过公网的，重点看这篇。

01 漏洞速览

漏洞编号CVE-2026-96652

影响产品Plex Media Server < 1.43.3.10861

漏洞类型SSRF（CWE-918）

危害等级单洞 5.3；串联整链 9.8

是否在野是，已进入 KEV

公开 PoC有（plex2shell 完整链）

攻击前提32400 端口可达，无需账号

影响面一句话：所有未升级的自建 Plex 实例，链路打通即被拿服务器权限。

02 漏洞成因

问题出在 /player/timeline 这个接口。protocol 参数会被原样拼进服务器构造的 player URL，全程没有任何校验，攻击者塞一个完整 URL 进去，Plex 服务器就会替他向任意地址发 POST 请求。

更糟的是鉴权形同虚设：请求里随便填一个 X-Plex-Token 值都能通过。也就是说这是免认证的 SSRF，连注册账号都不需要。

单独的 SSRF 危害有限，真正的杀伤力在串联。这条链的全貌：

96652 免认证 SSRF

/player/timeline 的 protocol= 注入

96654 searchOne 参数注入

借 SSRF 打回环，偷 owner 管理令牌

96655 转码器 SSRF + 任意路径写

dump-yuv 把恶意库写进 Codecs 目录

96656 无签名校验 dlopen

下次转码时恶意 .so/.dll 被直接执行

整条链走完：匿名请求 → 偷管理员 token → 往 Codecs 目录写恶意动态库 → 触发转码加载 → 反弹 shell，全程不需要登录。

03 影响范围

受影响：Plex Media Server 1.43.3.10861 之前所有版本，Linux、Windows、Docker 部署都受影响。

已修复：1.43.3.10861（2026 年 8 月初发布）。补丁已放出两个多月，还中招的基本都是没盯更新的自建实例。

04 利用分析

这不是理论威胁。技术细节 10 月 16 日公开，PoC 当天上架，第二天蜜罐里就抓到了真实攻击流量。

已观测到的野外攻击：用同样的 SSRF 入口打未打补丁的实例，随后用 wget 或 curl 从远端服务器拉取载荷落地。目前确认投放了两类东西——一个名为 mylovelyminer 的 XMRig 挖矿进程，和一个名为 myawesomeproxy 的 Linux 反向代理后门（借用你服务器流量，同一基础设施 8 月就被标记过与 DDoS 僵尸网络关联）。

攻击源集中在几个固定 IP：91.92.40.202、176.65.139.228、45.194.92.222。

利用门槛很低：PoC 一条命令跑完全链，Linux 原生、Docker、Windows 目标都支持，攻击者只需要一台目标能访问回连的主机。