Plex Media ServerにCVE-2026-96655——悪用中、修正版へ更新を

CVE-2026-96655とは——Plex Media ServerのSSRF脆弱性の概要

2026年9月23日、Plex Media Serverに存在するサーバーサイドリクエストフォージェリ（SSRF）の脆弱性がCVE-2026-96655として採番・公開された（最終更新：2026年10月21日、採番機関：CISA-CG）。脆弱性の種別はCWE-918（Server-Side Request Forgery）に分類される。

2026年10月20日、CVE-2026-96655はCISAのKnown Exploited Vulnerabilities（KEV）カタログに掲載された。KEVへの掲載は「実際の攻撃として悪用が確認された」ことの公式の意思表示である。ただし、読者の環境が必ずしも影響を受けるとは限らない。

同じPlex Media Serverの別の脆弱性は、CVE-2026-96656で解説しています。

関連記事PAN-OS管理画面にRCE脆弱性CVE-2026-0322、悪用確認で更新急げ

CVE-2026-96655の技術的詳細——脆弱性の仕組みと評価スコア

公式記録によれば、1.43.3.10861より前のPlex Media Serverでは、認証済みの利用者が/video/:/transcode/universalのパスのパラメータを通じて、内部・外部の任意の宛先へリクエストを送らせることができる（出典：cve.org）。サーバー自身に代理でリクエストを出させるため、通常は外から届かない社内の宛先にも到達しうる点が、SSRFと呼ばれる脆弱性の特徴である。

CVE-2026-96655 CVSSスコア詳細（評価者：CISA-CG）

評価項目	CVSS 3.1	CVSS 4.0
スコア（深刻度区分）	4.3（MEDIUM）	5.3（MEDIUM）
攻撃経路（AV）	ネットワーク（N）	ネットワーク（N）
攻撃の複雑さ（AC）	低（L）	低（L）
必要な権限（PR）	低（L）	低（L）
ユーザー操作（UI）	不要（N）	不要（N）
機密性への影響（VC/C）	低（L）	低（L）
完全性への影響（VI/I）	なし（N）	なし（N）
可用性への影響（VA/A）	なし（N）	なし（N）

CVSSスコア単体は「MEDIUM」だが、KEV掲載——実際の悪用が確認されたという事実——を踏まえると、数値だけで対処の優先度を判断することは適切でない。EPSS（悪用される確率の統計的推定値）は2026年10月29日時点で0.0164（パーセンタイル0.76）だが、統計的な推定であり、悪用を確定するものではない。

KEV掲載が意味すること——日本の企業・運用担当者が押さえるべき背景

CISAのKEVカタログへの掲載は、実際の悪用が確認されたことを意味する。CISAの対処期限は米連邦機関向けで、日本企業に遵守義務はないが、対処のタイムラインを検討する際の参照値となる。

CVE-2026-96655のKEV追加日は2026年10月20日であり、CISAが示した対処期限は2026年11月3日（米連邦機関向け）である。CISAが求める対処の骨子は次のとおりである：ベンダーの指示に従ったミティゲーションの適用、BOD 26-04のパッチ適用ガイドラインへの準拠、クラウドサービス向け同ガイダンスへの対応、またはミティゲーションが利用できない場合は当該製品の使用停止（出典：CISA Known Exploited Vulnerabilities Catalog）。

今やること——修正版への更新と対処の3点

対処の要点は次の3点に絞られる。

1. 修正版への更新。CVE-2026-96655は、Plex Media Server 1.43.3.10861で修正済みである。1.43.3.10861未満のバージョンを使用している場合は、このバージョン以上への更新を実施する。更新の判断はベンダーの公式告知（Plexフォーラムおよびリリースノート）に従うこと。

2. 更新の優先順位を上げる。CISAのKEVに掲載された——すなわち実際の悪用が確認された——ことを根拠として、更新の優先順位を上げる。CISAが示した対処期限は2026年11月3日（米連邦機関向け）であり、日本企業への法的義務ではないが、対処のタイムラインを検討する際の参照値として有効である。

3. 修正版が適用できない場合はベンダー告知に従う。修正版が無い場合は、ベンダーの告知に従う（公式の回避策は確認されていない）。

自社の機器が対象かどうかの判断や、すでに侵入されていないかの確認は、構成やログを見ないと判断できません。

同じ製品の別の脆弱性

同じ日にCISAのKEVへ登録されたPlex Media Serverの脆弱性は、番号ごとに別の記事で解説している：エンコードされたURIスキームの無害化の不備、ファイル名・パスの外部制御、サーバーサイドリクエストフォージェリ（SSRF）。修正版はいずれも1.43.3.10861。

---

参考文献

• CVE.org — CVE-2026-96655 公式記録: https://www.cve.org/CVERecord?id=CVE-2026-96655
• NVD — CVE-2026-96655: https://nvd.nist.gov/vuln/detail/CVE-2026-96655
• CISA Known Exploited Vulnerabilities Catalog: https://www.cisa.gov/known-exploited-vulnerabilities-catalog
• CISA CSAF Advisory（va-26-266-01）: https://raw.githubusercontent.com/cisagov/CSAF/develop/csaf_files/IT/white/2026/va-26-266-01.json
• Plex Community Forums — Plex Media Server リリース告知: https://forums.plex.tv/t/plex-media-server/30447/711