El 20 de octubre de 2026, CISA añadió seis vulnerabilidades que afectan a Plex Media Server, Siemens Software Center y SiteGuard Server Edition de EG Secure Solutions a su catálogo de Vulnerabilidades Explotadas Conocidas, al citar pruebas de explotación activa.
La alerta de CISA abarca cuatro fallos de Plex, una vulnerabilidad de Siemens y un problema de inyección de comandos en SiteGuard. Los plazos federales de remediación en Estados Unidos comienzan el 23 de octubre de 2026.
La actuación de CISA establece que las vulnerabilidades cumplen sus criterios para el catálogo KEV: un identificador CVE, pruebas de explotación y una orientación de mitigación clara. El aviso de la agencia no identifica a los operadores, objetivos ni campañas detrás de esa actividad.
Productos, versiones y plazos federales
| Vulnerabilidad | Producto y versiones afectadas en NVD | CVSS v3 | Plazo federal |
|---|---|---|---|
| CVE-2026-96652 | Plex Media Server; los registros de versiones presentan conflictos, como se detalla más abajo | 4,3 | 3 de noviembre de 2026 |
| CVE-2026-96654 | Plex Media Server; los registros de versiones presentan conflictos, como se detalla más abajo | 6,5 | 23 de octubre de 2026 |
| CVE-2026-96655 | Plex Media Server; los registros de versiones presentan conflictos, como se detalla más abajo | 4,3 | 3 de noviembre de 2026 |
| CVE-2026-96656 | Plex Media Server; los registros de versiones presentan conflictos, como se detalla más abajo | 7,2 | 23 de octubre de 2026 |
| CVE-2026-106931 | SiteGuard Server Edition; el registro de NVD citado no especifica ninguna versión | 7,8 | 23 de octubre de 2026 |
| CVE-2026-110936 | Siemens Software Center, todas las versiones anteriores a V4.0.9.8 | 6,7 | 3 de noviembre de 2026 |
La información sobre las versiones de Plex requiere especial cuidado. Los campos de versiones afectadas de NVD incluyen las versiones anteriores a 1.43.0.10861, mientras que las descripciones de las cuatro CVE indican que están afectadas las versiones de Plex Media Server anteriores a 1.43.3.10861. Por ello, los operadores deben seguir la guía del fabricante de Plex para determinar la actualización aplicable, en lugar de basarse únicamente en el umbral contradictorio de NVD.
Cómo funcionan las cuatro vulnerabilidades de Plex
Dos de los fallos de Plex son vulnerabilidades de falsificación de solicitudes del lado del servidor (SSRF).
CVE-2026-96652, clasificada como CWE-918, afecta a /player/timeline. Según NVD, una solicitud que contenga cualquier valor de X-Plex-Token puede usar una URL completa en el parámetro protocol para hacer que el servidor envíe una solicitud POST a un destino seleccionado. Su vector CVSS es CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:L/I:N/A:N.
CVE-2026-96655, también CWE-918, permite a un usuario autenticado hacer que Plex solicite direcciones internas o externas mediante el parámetro de ruta asociado a /video/:/transcode/universal. Tiene la misma puntuación de 4,3 y el mismo vector de requisito de privilegios que CVE-2026-96652.
CVE-2026-96654 se refiere a una neutralización inadecuada de valores de URL en searchOne. Un atacante puede usarla para invocar funciones expuestas por otros complementos proporcionando parámetros elegidos. NVD la puntúa con 6,5 y el vector CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:L/I:L/A:N, lo que significa que el fallo individual es accesible de forma remota, sin privilegios ni interacción del usuario.
La entrada de Plex con mayor puntuación en NVD es CVE-2026-96656, con 7,2. Un administrador puede escribir archivos arbitrarios que podrían ejecutarse posteriormente. La preferencia TranscoderH264Options se inserta textualmente en las opciones de x264 que se usan durante la transcodificación, mientras que los archivos .so se cargan al iniciar sin comprobaciones de firma, de bit de ejecución ni de símbolos. Según su vector, la vulnerabilidad individual requiere privilegios altos: CVSS:3.1/AV:N/AC:L/PR:H/UI:N/S:U/C:H/I:H/A:H.
Un informe de prensa atribuye al investigador Zach Main el hallazgo de las cuatro vulnerabilidades y las describe colectivamente como Plex2Shell. El informe afirma que pueden encadenarse para obtener ejecución remota de código sin autenticación. Esa cadena es una afirmación del investigador que transmite la publicación; las entradas individuales de NVD especifican una combinación de requisitos de privilegios nulos, bajos y altos, y no demuestran por sí mismas la cadena completa.
Los fallos de SiteGuard y Siemens permiten la ejecución de código con privilegios
CVE-2026-106931, de SiteGuard Server Edition, es una vulnerabilidad de inyección de comandos del sistema operativo clasificada como CWE-78. Una explotación exitosa puede ejecutar comandos arbitrarios con privilegios de root o SYSTEM en el host donde opera el producto.
A diferencia de los fallos de Plex, su vector CVSS (CVSS:3.0/AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H) requiere acceso local y privilegios bajos. El impacto potencial en la confidencialidad, la integridad y la disponibilidad se califica como alto.
El fallo de Siemens, CVE-2026-110936, afecta a todas las versiones de Siemens Software Center anteriores a V4.0.9.8. La aplicación busca en una ruta no controlada al cargar bibliotecas de enlace dinámico (DLL). Un atacante local autenticado con privilegios altos puede colocar una DLL manipulada en un directorio de búsqueda y obtener ejecución de código con los privilegios de la aplicación. Está clasificada como CWE-427 y tiene el vector CVSS:3.1/AV:L/AC:L/PR:H/UI:N/S:U/C:H/I:H/A:H.
Cobertura secundaria asocia la vulnerabilidad de Siemens con actividad de ClickFix relacionada con una plataforma llamada Romulus. El mismo informe cita a boredhackerblog en afirmaciones de que atacantes han usado los fallos de Plex para instalar mineros de criptomonedas y malware de proxy, y dice que EG Secure Solutions confirmó la explotación del problema de SiteGuard. La alerta de CISA establece la explotación a efectos de la inclusión en el catálogo KEV, pero no atribuye esas campañas ni esas cargas útiles específicas.
Respuesta requerida y triaje
Para las seis vulnerabilidades, CISA indica a las agencias que apliquen las mitigaciones proporcionadas por el fabricante, cumplan con la BOD 26-04, Prioritizing Security Updates Based on Risk, y sigan sus «Requisitos de triaje forense». En el caso de servicios en la nube, las agencias deben seguir la guía aplicable de la BOD 26-04 o dejar de usar el producto si no hay mitigaciones disponibles.
La BOD 26-04 se aplica a las agencias civiles del Poder Ejecutivo federal. Les exige priorizar las vulnerabilidades KEV en activos expuestos públicamente en los que la explotación puede proporcionar control total, y comprobar también si un sistema podría haber sido comprometido antes de la remediación. CISA anima a otras organizaciones a adoptar la misma priorización basada en riesgo.
Los plazos federales inmediatos son el 23 de octubre de 2026 para CVE-2026-96654, CVE-2026-96656 y CVE-2026-106931. CVE-2026-96652, CVE-2026-96655 y CVE-2026-110936 deben remediarse antes del 3 de noviembre de 2026. Los operadores fuera del gobierno federal deben inventariar las instalaciones afectadas, evaluar la exposición a Internet, aplicar las instrucciones del fabricante y realizar comprobaciones de compromiso previas al parche, en lugar de considerar que una actualización por sí sola es suficiente.
