Plex Media Server脆弱性CVE-2026-96654——KEV登録・既存版は更新を

公開日：2026年10月30日文：クリスタルメソッド編集部監修：河合継（代表取締役）

CVE-2026-96654とは——Plex Media Serverで悪用が確認された脆弱性の概要

2026年10月20日、米国サイバーセキュリティ・インフラストラクチャセキュリティ庁（CISA）は、Plex Media Serverの脆弱性CVE-2026-96654をKnown Exploited Vulnerabilities（KEV）カタログに登録した。KEVへの掲載は「実際の攻撃への悪用が確認された」ことを意味する（CISA KEV）。

対象はバージョン1.43.3.10861未満のPlex Media Serverである。

CVE-2026-96654の問題は、searchOneに含まれるURL値を正しく無害化していない点にある（CWE-84）。この欠陥により、攻撃者は他のプラグインの関数を呼び出し、自ら用意したパラメータを渡すことができる。CVSS 4.0スコアは6.9（MEDIUM）、CVSS 3.1スコアは6.5（MEDIUM）で、認証不要かつネットワーク経由での攻撃が可能と評価されている（評価者：cisa-cg、CVE-2026-96654 / cve.org）。

自社が対象か判断がつかない場合は、お使いの製品と版の情報をお送りいただければ、公式情報をもとに対象かどうかの目安をお伝えします（無料相談）。

Media Server 脆弱性CVE-2026-96654の深刻度と攻撃条件

重大度・攻撃条件・CISA対処期限を以下の表に整理する。CVSSスコアはcisa-cgによる評価値。

CVE番号	CVE-2026-96654
CWE	CWE-84（URIスキーム無害化）
CVSS 4.0	6.9（MEDIUM）
CVSS 3.1	6.5（MEDIUM）
認証要件（PR）	不要（PR:N）
KEV対処期限	2026-10-23

CVSSスコアが「MEDIUM」の場合でも、KEVへの掲載は悪用の現実性を示す指標として重みを持つ。スコアだけを見て優先度を下げると、実際の脅威への対応が遅れる判断になりかねない。また、EPSSスコア（2026-10-29時点）は0.0195（パーセンタイル0.80）と記録されているが、これは統計的な悪用確率の推定であって悪用を確定するものではない（CVE-2026-96654 / cve.org）。

次に読む：LinuxカーネルFragnesiaの対処手順は？

CVE-2026-46300 LinuxカーネルFragnesiaがKEVに追加——今すぐ確認すべき対処手順

同じ製品の別の脆弱性

同じ日にCISAのKEVへ登録されたPlex Media Serverの脆弱性は、番号ごとに別の記事で解説している：ファイル名・パスの外部制御、サーバーサイドリクエストフォージェリ（SSRF）、サーバーサイドリクエストフォージェリ（SSRF）。KEVの記載では、これらは組み合わせて悪用されうる脆弱性として整理されている。修正版はいずれも1.43.3.10861。

対処——Plex Media Serverを1.43.3.10861以降へ更新する

Plex Media Serverを修正版の1.43.3.10861以降へ更新する。1.43.3.10861未満の全バージョンが対象で、CISAのアドバイザリの推奨も「1.43.3.10861で修正済み」である（CISA CSAF va-26-266-01）。
公式の回避策は、CVE公式記録にもCISAのアドバイザリにも記載がない。
CISAの対処期限は2026年10月23日。米連邦機関向けの期限で、日本企業への義務ではない（CISA KEV）。

自社の機器が対象かどうかの判断や、すでに侵入されていないかの確認は、構成やログを見ないと判断できません。

参考文献