Plex Media ServerにSSRF脆弱性CVE-2026-96652——悪用確認、更新を

CVE-2026-96652の概要——Plex Media ServerでSSRFが確認された

2026年9月23日、Plex Media Serverに深刻度「中（MEDIUM）」のSSRF（サーバーサイドリクエストフォージェリ）脆弱性が登録された。識別子はCVE-2026-96652。CVE公式記録（cve.org）に掲載されている（最終更新: 2026年10月21日）。

脆弱性の核心はこうだ。Plex Media Serverの/player/timelineエンドポイントにおいて、任意のX-Plex-Token値を持つ攻撃者がprotocolパラメータに完全なURLを含めることで、Plexサーバーに攻撃者の指定した宛先へPOSTリクエストを送信させられる。

CVSSスコアはv3.1基準で4.3（MEDIUM）、v4.0基準で5.3（MEDIUM）。いずれも評価者はcisa-cgである（CVE公式記録 — cve.org）。数値上は「中」だが、後述するCISA KEVへの掲載が対応を検討する根拠となる。

関連記事PlexのCVE-2026-96655は悪用中？更新は？ ／ PlexのCVE-2026-96654はKEV登録？

CISA KEV掲載が意味すること——「悪用確認済み」の重さ

2026年10月20日、米国サイバーセキュリティ・インフラセキュリティ庁（CISA）は本脆弱性をKEV（Known Exploited Vulnerabilities Catalog）に追加した（CISA Known Exploited Vulnerabilities Catalog）。KEVへの掲載は「実際の攻撃への悪用が確認された」ことを意味する。ただし、自社が影響を受けるとは限らない。

CISAは米連邦機関に対して2026年11月3日を対処期限として設定し、次のアクションを要求している。

「ベンダーの指示に従いミティゲーションを適用すること。対応できない場合はその製品の使用を中止すること」（CISA KEV掲載文言より要約）

この対処期限と義務は米連邦機関向けのものであり、日本企業に法的義務はない。

なお、FIRST（Forum of Incident Response and Security Teams）によるEPSS（Exploit Prediction Scoring System）は2026年10月29日時点で0.018210（パーセンタイル0.78699）を示しているが、EPSSはあくまで統計的な推定であり、実際に悪用されるかどうかを確定するものではない。

Media Server 脆弱性CVE-2026-96652の技術的背景——SSRFはなぜ危険か

SSRFはWebアプリケーションやサーバーソフトウェアに潜む脆弱性クラスのひとつで、CWE-918として分類されている。攻撃者はサーバー自身に「代理リクエスト」を発行させることで、通常はファイアウォールやアクセス制御によって守られているリソースへ到達できる可能性がある。

本件のCVSSv3.1ベクター（AV:N/AC:L/PR:L/UI:N/S:U/C:L/I:N/A:N）が示す評価項目は次のとおりだ。

CVE-2026-96652 CVSSv3.1スコア内訳（評価者: cisa-cg）

評価項目	値	意味
攻撃経路（AV）	ネットワーク（N）	インターネット経由での悪用が可能
攻撃の複雑さ（AC）	低（L）	特別な条件や準備が不要
必要な権限（PR）	低（L）	低権限アカウントがあれば攻撃可能
ユーザー操作（UI）	不要（N）	被害者の操作を必要としない
スコープ（S）	変更なし（U）	影響は脆弱なコンポーネント内に留まる
機密性（C）	低（L）	CNAの評価（低）
完全性（I）	なし（N）	データの改ざんは評価されていない
可用性（A）	なし（N）	サービス停止は評価されていない

今やること——確認すべき3点

CVE-2026-96652への対応として、確認すべき事項は以下の3点に絞られる。

1. バージョン確認と修正版への更新
   対象はPlex Media Server 1.43.3.10861未満のすべてのバージョンだ。修正済みバージョンは1.43.3.10861である（CVE公式記録・Plexフォーラム公式告知より）。該当バージョンを稼働させている場合は、修正版への更新が必要だ。
2. 更新の優先度を上げる
   CISA KEVに掲載されているため、実際の悪用が確認済みである。CISAが示した必要な対処は「ベンダーの指示に従いミティゲーションを適用すること。対応できない場合は製品の使用を中止すること」だ（CISA KEVカタログ）。日本企業への法的義務はない。
3. 公式の回避策について
   現時点でPlexが公式に示している回避策は確認されていない。修正版が利用できない場合は、ベンダーの告知に従うこと。

自社の機器が対象かどうかの判断や、すでに侵入されていないかの確認は、構成やログを見ないと判断できません。

同じ製品の別の脆弱性

同じ日にCISAのKEVへ登録されたPlex Media Serverの脆弱性は、番号ごとに別の記事で解説している：エンコードされたURIスキームの無害化の不備、ファイル名・パスの外部制御、サーバーサイドリクエストフォージェリ（SSRF）。修正版はいずれも1.43.3.10861。

---

参考文献

• CVE公式記録 — CVE-2026-96652（cve.org）
• NVD — CVE-2026-96652（nvd.nist.gov）
• CISA Known Exploited Vulnerabilities Catalog（cisa.gov）
• Plex Media Server公式フォーラム — リリースノート（forums.plex.tv）
• CISA CSAF アドバイザリ — VA-26-266-01（cisagov/CSAF on GitHub）