Plex Media ServerにCVE-2026-96656——悪用中、修正版へ更新を

CVE-2026-96656とは——Plex Media Serverで実際に悪用が確認された脆弱性

2026年9月23日、Plex Media Serverに深刻な脆弱性CVE-2026-96656が公開された（最終更新：2026年10月21日）。脆弱性の種類はCWE-73、すなわち「External Control of File Name or Path（ファイル名またはパスの外部制御）」であり、攻撃者がサーバー上のファイルパスを外部から操作できる状態を指す。

公式記録によれば、1.43.3.10861より前のPlex Media Serverでは、管理者権限を持つ利用者が、読み込み時に実行されうる任意のファイルを書き込める（出典：cve.org）。

CVSSスコアはバージョン4.0で8.6（HIGH）、バージョン3.1で7.2（HIGH）と評価されている（評価機関：CISA CGチーム）。影響を受けるバージョンは1.43.3.10861未満のすべてであり、1.43.3.10861が修正済みバージョンとなる（出典：cve.org）。

2026年10月20日、米国サイバーセキュリティ・インフラストラクチャセキュリティ庁（CISA）は本脆弱性をKEV（Known Exploited Vulnerabilities Catalog：既知の悪用済み脆弱性カタログ）に追加した。KEVへの登録は「実際の攻撃での悪用が確認された」ことを意味する。なお、EPSS（悪用確率の統計的推定）による推定値は2026年10月29日時点で約1.8%（パーセンタイル：約78）とされているが、これは確率の推定値であり「悪用されない」ことを保証するものではない。KEV登録という実際の観測事実と、統計的な確率推定は独立した情報として扱う必要がある（出典：cve.org、CISA KEV）。

関連記事PAN-OSのRCE脆弱性、更新は急ぐ？ ／ Ivanti Connect Secureの悪用確認は？

この脆弱性が日本の運用担当者にとって重要な理由

CVSSベクター（CVSS:4.0/AV:N/AC:L/AT:N/PR:H/UI:N）を読み解くと、攻撃はネットワーク越しに実施可能（AV:N）で、攻撃の複雑さは低く（AC:L）、ユーザー操作を必要としない（UI:N）。前提条件として高い権限（PR:H）が挙げられている。

CISAのKEV登録は米連邦機関向けの対処指標であり、日本企業に直接の義務は生じない。ただし、KEVへの登録自体は「実際の攻撃での悪用が確認された」ことを示す。

CVE-2026-96656の主要情報——影響バージョンと評価値の整理

下表は、確認済みの事実に基づいて本脆弱性の主要情報を整理したものである。

項目	内容
CVE番号	CVE-2026-96656
対象製品	Plex Media Server
影響を受けるバージョン	1.43.3.10861 未満
修正済みバージョン	1.43.3.10861
脆弱性の種類（CWE）	CWE-73（External Control of File Name or Path）
CVSSスコア（4.0 / cisa-cg評価）	8.6（HIGH）
CVSSスコア（3.1 / cisa-cg評価）	7.2（HIGH）
CVE公開日	2026年9月23日（最終更新：2026年10月21日）
CISA KEV登録日	2026年10月20日
CISAが示した対処期限	2026年10月23日（米連邦機関向け）
ランサムウェアでの利用	Unknown（CISAによる記載）
EPSS（悪用確率の統計的推定）	約1.8%（パーセンタイル約78、2026年10月29日時点・確率推定値）

今やること——更新の優先度と対処の考え方

CVE-2026-96656への対処として、現時点で確認済みの情報に基づいて取れる行動は次の3点に絞られる。

1. 修正版へ更新する。Plex Media Serverのバージョンが1.43.3.10861未満であれば、修正済みバージョン1.43.3.10861への更新を適用する。配布パッケージを経由している場合は、その配布元ベンダーの告知で修正状況を確認する。

2. CISA KEVに登録されている点を踏まえる。本脆弱性はCISA KEVに登録されており、実際の攻撃での悪用が確認されている。CISAが示した必要な対処は「ベンダーの指示に従いミティゲーションを適用し、CISAのBOD 26-04（リスクに基づくセキュリティ更新の優先順位付け）および『Forensics Triage Requirements』への準拠を確保すること。クラウドサービスについてはBOD 26-04の該当ガイダンスに従い、ミティゲーションが利用できない場合は製品の使用を中止すること。利用者は各資産のインターネット露出を評価し、BOD 26-04のパッチ適用ガイドラインへの準拠を確保する責任を負う」とされている（出典：CISA KEV）。この期限（2026年10月23日）は米連邦機関向けである。

3. 修正版が適用できない場合はベンダー告知に従う。現時点でCISA KEVおよびPlexの公式告知には、修正版の更新以外の公式な回避策（ワークアラウンド）の記載は確認されていない。

自社の機器が対象かどうかの判断や、すでに侵入されていないかの確認は、構成やログを見ないと判断できません。

注意点と限界——評価値と実際のリスクを混同しないために

CVSSスコアは脆弱性の技術的な深刻度を示す指標であり、個々の環境での実際のリスクを直接表すものではない。ネットワーク境界の設計、認証状態の管理、外部公開の有無など、構成により影響の大小は変わりうる。スコアが高いからといって自動的に「自環境が危険」と断定するのではなく、自環境の構成と照らした個別判断が求められる。

EPSS（約1.8%、2026年10月29日時点）という数値は統計的な推定であり、KEVへの登録という実際の悪用観測とは独立した情報だ。「低確率だから問題ない」と判断する根拠にはならない点に留意が必要である。

ランサムウェアとの関連についてCISAは「Unknown」と記載しており、断定的な評価はできない。悪用されている事実はあるが、その手法・規模・攻撃者属性は公開情報の範囲では確認されていない。

CVSSの評価者（CNA/NVD/CISA等）が異なると同一脆弱性でもスコアが異なる場合がある。本記事に記載のスコア（CVSS 4.0：8.6、CVSS 3.1：7.2）はいずれもcisa-cgチームによる評価値である。

同じ製品の別の脆弱性

同じ日にCISAのKEVへ登録されたPlex Media Serverの脆弱性は、番号ごとに別の記事で解説している：エンコードされたURIスキームの無害化の不備、サーバーサイドリクエストフォージェリ（SSRF）、サーバーサイドリクエストフォージェリ（SSRF）。修正版はいずれも1.43.3.10861。

---

参考文献

• Plex Community Forums – Plex Media Server Release Notes: https://forums.plex.tv/t/plex-media-server/30447/711
• CISA CSAF Advisory (CVE-2026-96656): https://raw.githubusercontent.com/cisagov/CSAF/develop/csaf_files/IT/white/2026/va-26-266-01.json
• CVE.org – CVE-2026-96656: https://www.cve.org/CVERecord?id=CVE-2026-96656
• NVD – CVE-2026-96656: https://nvd.nist.gov/vuln/detail/CVE-2026-96656
• CISA Known Exploited Vulnerabilities Catalog: https://www.cisa.gov/known-exploited-vulnerabilities-catalog