Le 20 octobre 2026, la CISA a ajouté six vulnérabilités touchant Plex Media Server, Siemens Software Center et SiteGuard Server Edition d'EG Secure Solutions à son catalogue des vulnérabilités connues et exploitées (KEV), en invoquant des preuves d'exploitation active.
L'alerte de la CISA couvre quatre failles Plex, une vulnérabilité Siemens et une faille d'injection de commandes SiteGuard. Les échéances fédérales américaines de correction commencent le 23 octobre 2026.
L'action de la CISA établit que ces vulnérabilités répondent à ses critères KEV : un identifiant CVE, des preuves d'exploitation et des consignes de mitigation claires. L'avis de l'agence n'identifie ni les opérateurs, ni les cibles, ni les campagnes à l'origine de cette activité.
Produits, versions et échéances fédérales
| Vulnérabilité | Produit et versions concernées dans la NVD | Score CVSS v3 | Échéance fédérale |
|---|---|---|---|
| CVE-2026-96652 | Plex Media Server ; les enregistrements de versions se contredisent, comme détaillé ci-dessous | 4,3 | 3 novembre 2026 |
| CVE-2026-96654 | Plex Media Server ; les enregistrements de versions se contredisent, comme détaillé ci-dessous | 6,5 | 23 octobre 2026 |
| CVE-2026-96655 | Plex Media Server ; les enregistrements de versions se contredisent, comme détaillé ci-dessous | 4,3 | 3 novembre 2026 |
| CVE-2026-96656 | Plex Media Server ; les enregistrements de versions se contredisent, comme détaillé ci-dessous | 7,2 | 23 octobre 2026 |
| CVE-2026-106931 | SiteGuard Server Edition ; la fiche NVD citée ne précise aucune version | 7,8 | 23 octobre 2026 |
| CVE-2026-110936 | Siemens Software Center, toutes les versions antérieures à V4.0.9.8 | 6,7 | 3 novembre 2026 |
Les informations sur les versions de Plex demandent une attention particulière. Les champs de versions concernées de la NVD listent les versions antérieures à 1.43.0.10861, tandis que les descriptions des quatre CVE indiquent que les versions de Plex Media Server antérieures à 1.43.3.10861 sont touchées. Les exploitants doivent donc suivre les consignes du fournisseur Plex pour déterminer la mise à jour applicable, plutôt que de se fier au seuil NVD contradictoire seul.
Fonctionnement des quatre failles Plex
Deux des failles Plex sont des vulnérabilités de falsification de requête côté serveur (SSRF).
CVE-2026-96652, classée CWE-918, touche /player/timeline. Selon la NVD, une requête contenant une valeur quelconque de X-Plex-Token peut utiliser une URL complète dans le paramètre protocol pour amener le serveur à envoyer une requête POST vers une destination choisie. Son vecteur CVSS est CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:L/I:N/A:N.
CVE-2026-96655, également classée CWE-918, permet à un utilisateur authentifié de faire envoyer par Plex des requêtes vers des adresses internes ou externes, via le paramètre de chemin associé à /video/:/transcode/universal. Elle a le même score de 4,3 et le même vecteur, avec privilèges requis, que CVE-2026-96652.
CVE-2026-96654 concerne une neutralisation insuffisante des valeurs d'URL dans searchOne. Un attaquant peut s'en servir pour invoquer des fonctions exposées par d'autres plugins, en fournissant des paramètres de son choix. La NVD lui attribue un score de 6,5 avec le vecteur CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:L/I:L/A:N, ce qui signifie que la faille prise isolément est accessible à distance, sans privilèges ni interaction de l'utilisateur.
L'entrée Plex la plus sévère selon le score NVD est CVE-2026-96656, avec 7,2. Un administrateur peut écrire des fichiers arbitraires, qui peuvent ensuite être exécutés. La préférence TranscoderH264Options est insérée telle quelle dans les options x264 utilisées lors du transcodage, tandis que les fichiers .so sont chargés au démarrage sans vérification de signature, du bit d'exécution ni des symboles. Selon son vecteur, la vulnérabilité prise isolément exige des privilèges élevés : CVSS:3.1/AV:N/AC:L/PR:H/UI:N/S:U/C:H/I:H/A:H.
Un article de presse attribue au chercheur Zach Main la découverte des quatre failles et les regroupe collectivement sous le nom de Plex2Shell. Selon cet article, elles peuvent être enchaînées pour obtenir une exécution de code à distance sans authentification. Cette chaîne d'exploitation n'est qu'une affirmation du chercheur, relayée par le média : les fiches NVD individuelles mentionnent des niveaux de privilèges variés (aucun, faible ou élevé) et ne démontrent pas elles-mêmes la chaîne complète.
Les failles SiteGuard et Siemens permettent une exécution de code avec privilèges
CVE-2026-106931 de SiteGuard Server Edition est une vulnérabilité d'injection de commandes système classée CWE-78. Une exploitation réussie peut exécuter des commandes arbitraires avec les privilèges root ou SYSTEM sur l'hôte où le produit fonctionne.
Contrairement aux failles Plex, son vecteur CVSS — CVSS:3.0/AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H — exige un accès local et des privilèges faibles. L'impact potentiel sur la confidentialité, l'intégrité et la disponibilité est évalué comme élevé.
La faille Siemens, CVE-2026-110936, touche toutes les versions de Siemens Software Center antérieures à V4.0.9.8. L'application recherche dans un chemin non contrôlé lors du chargement des bibliothèques de liens dynamiques (DLL). Un attaquant local authentifié disposant de privilèges élevés peut placer une DLL malveillante dans un répertoire recherché et obtenir une exécution de code avec les privilèges de l'application. Elle est classée CWE-427 et son vecteur est CVSS:3.1/AV:L/AC:L/PR:H/UI:N/S:U/C:H/I:H/A:H.
Selon d'autres sources, la faille Siemens est rattachée à une activité ClickFix impliquant une plateforme appelée Romulus. Le même article cite boredhackerblog pour affirmer que des attaquants ont utilisé les failles Plex afin d'installer des mineurs de cryptomonnaies et des logiciels malveillants de proxy, et indique qu'EG Secure Solutions a confirmé l'exploitation de la faille SiteGuard. L'alerte de la CISA établit l'exploitation aux fins de l'inclusion dans le catalogue KEV, mais n'attribue pas ces campagnes ni ces charges utiles spécifiques.
Réponse requise et tri
Pour les six vulnérabilités, la CISA demande aux agences d'appliquer les mesures d'atténuation fournies par les éditeurs, de se conformer à la directive BOD 26-04, Prioritizing Security Updates Based on Risk, et de suivre ses « Forensics Triage Requirements ». Pour les services cloud, les agences doivent suivre les consignes applicables de la BOD 26-04 ou cesser d'utiliser le produit si aucune mesure d'atténuation n'est disponible.
La BOD 26-04 s'applique aux agences du pouvoir exécutif civil fédéral. Elle leur impose de prioriser les vulnérabilités KEV sur les actifs exposés publiquement lorsque l'exploitation peut donner un contrôle total, tout en vérifiant si un système a pu être compromis avant la correction. La CISA encourage les autres organisations à adopter la même priorisation fondée sur les risques.
Les échéances fédérales immédiates sont fixées au 23 octobre 2026 pour CVE-2026-96654, CVE-2026-96656 et CVE-2026-106931. CVE-2026-96652, CVE-2026-96655 et CVE-2026-110936 doivent être corrigées au plus tard le 3 novembre 2026. Les exploitants situés hors du gouvernement fédéral doivent inventorier les installations concernées, évaluer leur exposition à Internet, appliquer les instructions des éditeurs et effectuer des vérifications de compromission avant correctif, plutôt que de considérer une mise à jour seule comme suffisante.
