Il 20 ottobre 2026 la CISA ha aggiunto sei vulnerabilità che interessano Plex Media Server, Siemens Software Center e SiteGuard Server Edition di EG Secure Solutions al proprio catalogo Known Exploited Vulnerabilities, citando evidenze di sfruttamento attivo.
L'avviso CISA riguarda quattro falle di Plex, una vulnerabilità di Siemens e un problema di command injection in SiteGuard. Le scadenze federali statunitensi per la risoluzione iniziano il 23 ottobre 2026.
L'intervento della CISA stabilisce che le vulnerabilità soddisfano i criteri KEV: un identificativo CVE, evidenze di sfruttamento e indicazioni di mitigazione chiare. L'avviso dell'agenzia non identifica gli operatori, i bersagli o le campagne dietro questa attività.
Prodotti, versioni e scadenze federali
| Vulnerabilità | Prodotto e versioni interessate in NVD | CVSS v3 | Scadenza federale |
|---|---|---|---|
| CVE-2026-96652 | Plex Media Server; i record sulle versioni sono in conflitto, come descritto sotto | 4,3 | 3 novembre 2026 |
| CVE-2026-96654 | Plex Media Server; i record sulle versioni sono in conflitto, come descritto sotto | 6,5 | 23 ottobre 2026 |
| CVE-2026-96655 | Plex Media Server; i record sulle versioni sono in conflitto, come descritto sotto | 4,3 | 3 novembre 2026 |
| CVE-2026-96656 | Plex Media Server; i record sulle versioni sono in conflitto, come descritto sotto | 7,2 | 23 ottobre 2026 |
| CVE-2026-106931 | SiteGuard Server Edition; il record NVD citato non specifica una versione | 7,8 | 23 ottobre 2026 |
| CVE-2026-110936 | Siemens Software Center, tutte le versioni precedenti alla V4.0.9.8 | 6,7 | 3 novembre 2026 |
Le informazioni sulle versioni di Plex richiedono particolare attenzione. I campi sulle versioni interessate in NVD elencano release precedenti alla 1.43.0.10861, mentre le descrizioni di tutte e quattro le CVE indicano come interessate le versioni di Plex Media Server precedenti alla 1.43.3.10861. Gli operatori dovrebbero quindi usare le indicazioni del fornitore Plex per individuare l'aggiornamento applicabile, anziché affidarsi solo alla soglia NVD, che è in conflitto con quella indicata.
Come funzionano le quattro vulnerabilità di Plex
Due delle falle di Plex sono vulnerabilità di server-side request forgery (SSRF).
CVE-2026-96652, classificata come CWE-918, interessa /player/timeline. Secondo NVD, una richiesta con un qualsiasi valore di X-Plex-Token può usare un URL completo nel parametro protocol per far inviare al server una richiesta POST verso una destinazione scelta. Il suo vettore CVSS è CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:L/I:N/A:N.
CVE-2026-96655, anch'essa CWE-918, consente a un utente autenticato di far richiedere a Plex indirizzi interni o esterni tramite il parametro path associato a /video/:/transcode/universal. Ha lo stesso punteggio di 4,3 e lo stesso vettore che richiede privilegi della CVE-2026-96652.
CVE-2026-96654 riguarda la neutralizzazione inadeguata dei valori URL in searchOne. Un attaccante può usarla per invocare funzioni esposte da altri plugin fornendo parametri scelti. NVD le assegna un punteggio di 6,5 con il vettore CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:L/I:L/A:N, il che significa che la singola falla è raggiungibile da remoto senza privilegi né interazione dell'utente.
La voce di Plex più grave in base al punteggio NVD è CVE-2026-96656, con 7,2. Un amministratore può scrivere file arbitrari che potrebbero essere eseguiti in seguito. La preferenza TranscoderH264Options viene inserita senza modifiche nelle opzioni x264 usate durante la transcodifica, mentre i file .so vengono caricati all'avvio senza controlli di firma, del bit di esecuzione o dei simboli. Secondo il suo vettore, la singola vulnerabilità richiede privilegi elevati: CVSS:3.1/AV:N/AC:L/PR:H/UI:N/S:U/C:H/I:H/A:H.
Un articolo di cronaca attribuisce al ricercatore Zach Main la scoperta delle quattro falle e le descrive collettivamente come Plex2Shell. Secondo l'articolo, potrebbero essere concatenate per ottenere esecuzione di codice remota non autenticata. Tale concatenazione è un'affermazione del ricercatore riportata dalla testata; le singole voci NVD indicano requisiti di privilegio diversi (nessuno, basso o alto) e non dimostrano di per sé la catena completa.
Le falle di SiteGuard e Siemens consentono l'esecuzione di codice con privilegi elevati
La CVE-2026-106931 di SiteGuard Server Edition è una vulnerabilità di OS command injection classificata come CWE-78. Uno sfruttamento riuscito può eseguire comandi arbitrari con privilegi root o SYSTEM sull'host su cui opera il prodotto.
A differenza delle falle di Plex, il suo vettore CVSS — CVSS:3.0/AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H — richiede accesso locale e privilegi bassi. L'impatto potenziale su riservatezza, integrità e disponibilità è valutato come alto.
La falla di Siemens, CVE-2026-110936, interessa ogni release di Siemens Software Center precedente alla V4.0.9.8. L'applicazione cerca in un percorso non controllato durante il caricamento delle librerie dinamiche (DLL). Un attaccante locale autenticato con privilegi elevati può collocare una DLL appositamente costruita in una directory cercata e ottenere esecuzione di codice con i privilegi dell'applicazione. È classificata come CWE-427 e ha il vettore CVSS:3.1/AV:L/AC:L/PR:H/UI:N/S:U/C:H/I:H/A:H.
Un'altra fonte giornalistica associa la falla di Siemens a un'attività ClickFix che coinvolge una piattaforma chiamata Romulus. Lo stesso articolo cita boredhackerblog per affermazioni secondo cui gli attaccanti avrebbero usato le falle di Plex per installare miner di criptovalute e malware proxy, e afferma che EG Secure Solutions ha confermato lo sfruttamento della falla di SiteGuard. L'avviso della CISA stabilisce lo sfruttamento ai fini dell'inclusione nel catalogo KEV, ma non attribuisce quelle specifiche campagne o quei payload.
Risposta richiesta e triage
Per tutte e sei le vulnerabilità, la CISA indica alle agenzie di applicare le mitigazioni fornite dal produttore, di conformarsi alla BOD 26-04, Prioritizing Security Updates Based on Risk, e di seguire i suoi «Forensics Triage Requirements». Per i servizi cloud, le agenzie devono seguire le indicazioni applicabili della BOD 26-04 oppure interrompere l'uso del prodotto se le mitigazioni non sono disponibili.
La BOD 26-04 si applica alle agenzie del Federal Civilian Executive Branch. Richiede di dare priorità alle vulnerabilità KEV sugli asset esposti pubblicamente dove lo sfruttamento può garantire il controllo totale, verificando anche, prima della risoluzione, se un sistema possa essere stato compromesso. La CISA incoraggia le altre organizzazioni ad adottare la stessa priorizzazione basata sul rischio.
Le scadenze federali immediate sono il 23 ottobre 2026 per CVE-2026-96654, CVE-2026-96656 e CVE-2026-106931. CVE-2026-96652, CVE-2026-96655 e CVE-2026-110936 devono essere risolte entro il 3 novembre 2026. Gli operatori al di fuori del governo federale dovrebbero inventariare le installazioni interessate, valutarne l'esposizione su internet, applicare le istruzioni del fornitore ed eseguire controlli di compromissione prima dell'applicazione della patch, anziché considerare sufficiente il solo aggiornamento.
