CISA Peringatkan Eksploitasi Rantai Celah Plex2Shell pada Server Plex

Badan Keamanan Siber dan Infrastruktur Amerika Serikat (CISA) mengeluarkan peringatan darurat terkait kampanye serangan siber yang secara aktif mengeksploitasi empat kerentanan pada Plex Media Server, yang dikenal secara kolektif dengan sebutan Plex2Shell.

Rantai eksploitasi ini memungkinkan pelaku kejahatan memperoleh token admin pemilik server serta mengeksekusi kode dengan hak istimewa tinggi (elevated privileges). Plex Media Server sendiri merupakan perangkat lunak streaming media populer yang banyak digunakan untuk mengelola dan memutar koleksi film, acara TV, musik, serta foto secara mandiri baik di dalam jaringan rumah maupun jarak jauh via internet.

Menanggapi ancaman ini, CISA telah menginstruksikan seluruh instansi federal AS untuk memprioritaskan penambalan sistem yang terdampak celah Plex2Shell atau menerapkan mitigasi selambat-lambatnya pada 23 Oktober 2026.

Detail Rantai Eksploitasi Empat Celah Plex2Shell

Kerentanan ini pertama kali ditemukan oleh peneliti keamanan Zach Main, yang melaporkannya secara bertanggung jawab kepada pihak Plex pada 27 Juli lalu. Meskipun masing-masing celah dinilai memiliki tingkat keparahan menengah hingga tinggi, peneliti tersebut menyematkan skor kritis 9.8 untuk keseluruhan rantai eksploitasi (exploit chain) ini:

• CVE-2026-96652: Celah SSRF pada endpoint /player/timeline yang memungkinkan penyerang tanpa otentikasi memaksa Plex mengirimkan permintaan POST ke tujuan arbitrer, termasuk API internal miliknya sendiri.
• CVE-2026-96654: Celah injeksi URL pada fungsi searchOne yang memungkinkan penyerang memanggil fungsi plugin lain dengan parameter yang dikendalikan oleh pelaku.
• CVE-2026-96655: Celah SSRF terotentikasi pada endpoint transcoder yang memungkinkan pengguna meminta Plex mengakses alamat internal atau eksternal arbitrer.
• CVE-2026-96656: Celah penulisan berkas arbitrer (arbitrary file write) pada pengaturan transcoder yang memungkinkan administrator menyisipkan pustaka bersama (shared libraries) berbahaya untuk dimuat oleh Plex, berujung pada eksekusi kode.

Zach Main mempublikasikan rincian teknis lengkap Plex2Shell pada 16 Oktober, disusul dengan rilis kode pembuktian konsep (Proof-of-Concept / PoC) tiga hari kemudian. Laporan eksploitasi aktif di lapangan mulai bermunculan pada 17 Oktober, yang awalnya menyasar honeypot Plex untuk menyebarkan perangkat penambang kripto (cryptominer).

Celah Plex2Shell ini berdampak pada Plex Media Server versi sebelum 1.43.3.10861 yang telah dirilis sejak 4 Agustus lalu.

Penambahan Celah Siemens Software Center dan SiteGuard ke Katalog KEV

Selain Plex2Shell, CISA turut memasukkan celah elemen jalur pencarian tak terkontrol (uncontrolled search path element), yang dilacak sebagai CVE-2026-110936, ke dalam katalog Kerentanan yang Dieksploitasi Secara Aktif (Known Exploited Vulnerabilities / KEV). Raksasa teknologi asal Jerman, Siemens, sebelumnya telah memperingatkan pada 19 Oktober bahwa peretas telah memanfaatkan kerentanan ini dalam kampanye yang terhubung dengan platform pengiriman multi-payload bernama Romulus. Pengguna disarankan memperbarui Siemens Software Center ke versi 4.0.9.8 atau lebih baru.

CISA juga menambahkan CVE-2026-106931, sebuah celah injeksi perintah OS (OS command injection) yang berdampak pada aplikasi web application firewall (WAF) SiteGuard Server Edition. Pengguna diimbau segera meningkatkan perangkat lunak ke versi 8.00 Update 5 atau FreeBSD versi 7.00 Update 6 dan yang lebih baru untuk menghindari eksploitasi lanjutan.

Sumber: CISA Advisory