CISA hat am 20.10.2026 sechs Schwachstellen in Plex Media Server, Siemens Software Center und SiteGuard Server Edition von EG Secure Solutions in ihren Katalog bekannter ausgenutzter Schwachstellen (Known Exploited Vulnerabilities, KEV) aufgenommen. Als Begründung nennt die Behörde Belege für eine aktive Ausnutzung.
Die CISA-Warnmeldung betrifft vier Plex-Schwachstellen, eine Siemens-Schwachstelle und einen Befehlsinjektionsfehler in SiteGuard. Die Behebungsfristen für US-Bundesbehörden beginnen am 23.10.2026.
Das Vorgehen von CISA belegt, dass die Schwachstellen die KEV-Kriterien erfüllen: eine CVE-Kennung, Belege für eine Ausnutzung und klare Hinweise zur Behebung. Die Mitteilung der Behörde nennt weder die Akteure, Ziele noch Kampagnen hinter dieser Aktivität.
Produkte, Versionen und Fristen für Bundesbehörden
| Schwachstelle | Produkt und betroffene Versionen laut NVD | CVSS v3 | Frist für Bundesbehörden |
|---|---|---|---|
| CVE-2026-96652 | Plex Media Server; die Versionsangaben widersprechen sich, wie unten beschrieben | 4,3 | 03.11.2026 |
| CVE-2026-96654 | Plex Media Server; die Versionsangaben widersprechen sich, wie unten beschrieben | 6,5 | 23.10.2026 |
| CVE-2026-96655 | Plex Media Server; die Versionsangaben widersprechen sich, wie unten beschrieben | 4,3 | 03.11.2026 |
| CVE-2026-96656 | Plex Media Server; die Versionsangaben widersprechen sich, wie unten beschrieben | 7,2 | 23.10.2026 |
| CVE-2026-106931 | SiteGuard Server Edition; der zitierte NVD-Eintrag nennt keine Version | 7,8 | 23.10.2026 |
| CVE-2026-110936 | Siemens Software Center, alle Versionen unterhalb von V4.0.9.8 | 6,7 | 03.11.2026 |
Bei den Plex-Versionsangaben ist besondere Sorgfalt geboten. Die Felder für betroffene Versionen bei NVD nennen Releases unterhalb von 1.43.0.10861, während die Beschreibungen aller vier CVEs besagen, dass Plex Media Server-Versionen vor 1.43.3.10861 betroffen sind. Betreiber sollten daher die Herstellerhinweise von Plex heranziehen, um das passende Update zu ermitteln, und sich nicht allein auf die widersprüchliche NVD-Schwelle verlassen.
Die vier Plex-Schwachstellen im Detail
Zwei der Plex-Schwachstellen sind Server-Side-Request-Forgery-Lücken (SSRF).
CVE-2026-96652 ist als CWE-918 klassifiziert und betrifft /player/timeline. Laut NVD kann eine Anfrage mit einem beliebigen X-Plex-Token-Wert über eine vollständige URL im Parameter protocol den Server veranlassen, eine POST-Anfrage an ein ausgewähltes Ziel zu senden. Der CVSS-Vektor lautet CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:L/I:N/A:N.
CVE-2026-96655 ist ebenfalls als CWE-918 klassifiziert. Sie ermöglicht es einem authentifizierten Benutzer, über den Pfadparameter, der mit /video/:/transcode/universal verknüpft ist, dass Plex interne oder externe Adressen anfragt. Sie hat dieselbe Bewertung von 4,3 und denselben Vektor für die erforderlichen Rechte wie CVE-2026-96652.
CVE-2026-96654 betrifft eine unzureichende Neutralisierung von URL-Werten in searchOne. Ein Angreifer kann sie nutzen, um Funktionen aufzurufen, die andere Plugins bereitstellen, und dabei selbst gewählte Parameter übergeben. NVD bewertet sie mit 6,5 und dem Vektor CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:L/I:L/A:N. Das bedeutet, dass die einzelne Schwachstelle aus der Ferne ohne Rechte und ohne Benutzerinteraktion erreichbar ist.
Den höchsten NVD-Wert unter den Plex-Einträgen erreicht CVE-2026-96656 mit 7,2. Ein Administrator kann beliebige Dateien schreiben, die anschließend ausgeführt werden können. Die Einstellung TranscoderH264Options wird unverändert in die x264-Optionen eingefügt, die beim Transcodieren verwendet werden. Zudem werden .so-Dateien beim Start geladen, ohne dass Signatur, Ausführungsbit oder Symbole geprüft werden. Die einzelne Schwachstelle erfordert laut ihrem Vektor hohe Rechte: CVSS:3.1/AV:N/AC:L/PR:H/UI:N/S:U/C:H/I:H/A:H.
Ein Nachrichtenbericht schreibt dem Forscher Zach Main die Entdeckung der vier Schwachstellen zu und fasst sie gemeinsam unter dem Namen Plex2Shell zusammen. Der Bericht besagt, dass sie zu einer Kette verbunden werden können, mit der sich eine Remote-Codeausführung ohne Authentifizierung erreichen lässt. Diese Kette ist eine Behauptung des Forschers, die vom Medium weitergegeben wird. Die einzelnen NVD-Einträge nennen dagegen eine Mischung aus Anforderungen ohne, mit niedrigen und mit hohen Rechten und belegen die vollständige Kette nicht selbst.
SiteGuard- und Siemens-Schwachstellen ermöglichen Codeausführung mit erhöhten Rechten
Die CVE-2026-106931 in SiteGuard Server Edition ist eine OS-Befehlsinjektion, klassifiziert als CWE-78. Eine erfolgreiche Ausnutzung kann beliebige Befehle mit Root- oder SYSTEM-Rechten auf dem Host ausführen, auf dem das Produkt läuft.
Anders als bei den Plex-Schwachstellen erfordert ihr CVSS-Vektor CVSS:3.0/AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H lokalen Zugriff und niedrige Rechte. Die mögliche Auswirkung auf Vertraulichkeit, Integrität und Verfügbarkeit wird als hoch eingestuft.
Die Siemens-Schwachstelle CVE-2026-110936 betrifft jede Version von Siemens Software Center unterhalb von V4.0.9.8. Die Anwendung durchsucht beim Laden dynamischer Linkbibliotheken einen nicht kontrollierten Pfad. Ein authentifizierter lokaler Angreifer mit hohen Rechten kann eine präparierte DLL in ein durchsuchtes Verzeichnis legen und so Codeausführung mit den Rechten der Anwendung erreichen. Sie ist als CWE-427 klassifiziert und hat den Vektor CVSS:3.1/AV:L/AC:L/PR:H/UI:N/S:U/C:H/I:H/A:H.
Weiterführende Berichte bringen die Siemens-Schwachstelle mit ClickFix-Aktivitäten in Verbindung, bei denen eine Plattform namens Romulus zum Einsatz kommt. Derselbe Bericht beruft sich für die Behauptung, Angreifer hätten die Plex-Schwachstellen genutzt, um Kryptowährungs-Miner und Proxy-Malware zu installieren, auf boredhackerblog. Außerdem gibt er an, EG Secure Solutions habe die Ausnutzung der SiteGuard-Schwachstelle bestätigt. CISAs Warnmeldung belegt die Ausnutzung als Grundlage für die KEV-Aufnahme, ordnet diese konkreten Kampagnen oder Schadprogramme aber nicht zu.
Erforderliche Reaktion und Priorisierung
Für alle sechs Schwachstellen weist CISA die Behörden an, die vom Hersteller bereitgestellten Gegenmaßnahmen anzuwenden, die Vorgaben der BOD 26-04, Prioritizing Security Updates Based on Risk, einzuhalten und deren „Forensics Triage Requirements“ zu befolgen. Bei Cloud-Diensten müssen Behörden die einschlägigen Vorgaben der BOD 26-04 beachten oder die Nutzung des Produkts einstellen, wenn keine Gegenmaßnahmen verfügbar sind.
Die BOD 26-04 gilt für Behörden der zivilen Bundesexekutive der USA. Sie verlangt, KEV-Schwachstellen auf öffentlich erreichbaren Systemen vorrangig zu behandeln, bei denen eine Ausnutzung die vollständige Kontrolle ermöglichen kann. Vor der Behebung ist außerdem zu prüfen, ob ein System möglicherweise bereits kompromittiert wurde. CISA empfiehlt anderen Organisationen, dieselbe risikobasierte Priorisierung zu übernehmen.
Die unmittelbaren Bundesfristen sind der 23.10.2026 für CVE-2026-96654, CVE-2026-96656 und CVE-2026-106931. CVE-2026-96652, CVE-2026-96655 und CVE-2026-110936 müssen bis zum 03.11.2026 behoben sein. Betreiber außerhalb der Bundesverwaltung sollten ihre betroffenen Installationen erfassen, die Erreichbarkeit aus dem Internet bewerten, die Herstellerhinweise umsetzen und vor dem Patchen auf Anzeichen einer Kompromittierung prüfen. Ein Update allein sollten sie nicht als ausreichend betrachten.
