20 жовтня 2026 року Агентство з кібербезпеки та захисту інфраструктури США (CISA) поповнило каталог Known Exploited Vulnerabilities (KEV) новими записами, що стосуються трьох продуктів: Plex Media Server, Siemens Software Center і EG Secure Solutions SiteGuard Server Edition. Для федеральних цивільних агентств (FCEB) встановлено стислі строки усунення — до 23 жовтня та 3 листопада 2026 року. Внесення до KEV означає підтверджену активну експлуатацію, що робить оперативне патчування критично важливим не лише для державних структур, а й для будь-яких організацій, які використовують ці продукти.
Вразливості Plex Media Server: ланцюжок Plex2Shell
Згідно з початковим звітом, чотири вразливості в Plex Media Server об’єднані під загальною назвою Plex2Shell:
- CVE-2026-96652 (CVSS 5.3) — підробка запитів на стороні сервера (SSRF)
- CVE-2026-96654 (CVSS 6.9) — некоректна нейтралізація закодованих URI-схем на веб-сторінці
- CVE-2026-96655 (CVSS 5.3) — підробка запитів на стороні сервера (SSRF)
- CVE-2026-96656 (CVSS 8.6) — зовнішнє керування ім’ям файла або шляхом
За даними початкового звіту, виправлення включені в Plex Media Server версії 1.43.3.10861, випущеній 3 серпня 2026 року. Водночас варто зазначити, що офіційний бюлетень безпеки Plex із зазначенням діапазону вразливих версій у доступних матеріалах не виявлено, тому повна картина задіяних версій лишається невстановленою.
Важлива розбіжність у даних: заголовок оповіщення CISA згадує шість вразливостей, однак у детермінованому пакеті KEV зафіксовано лише чотири записи — CVE-2026-96654, CVE-2026-96656, CVE-2026-110936 і CVE-2026-106931. Вразливості CVE-2026-96652 і CVE-2026-96655 у цьому пакеті відсутні. Це може бути пов’язано з особливостями дзеркалювання даних або з тим, що ці дві CVE були додані окремо. Організаціям рекомендується орієнтуватися на повний список із шести CVE та усунути всі чотири вразливості Plex, не чекаючи уточнень.
Siemens Software Center і SiteGuard
Окрім вразливостей Plex, CISA відзначило ще два активно експлуатовані дефекти:
- CVE-2026-110936 (CVSS 8.4) — вразливість підвантаження шкідливих DLL (DLL sideloading) у Siemens Software Center. Згідно з початковим звітом, цей дефект використовується в атаках типу ClickFix із застосуванням платформи під назвою Romulus, однак ці деталі експлуатації не отримали незалежного підтвердження в доступних матеріалах.
- CVE-2026-106931 (CVSS 8.5) — вразливість впровадження команд (command injection) у EG Secure Solutions SiteGuard Server Edition. За даними початкового звіту, японська компанія-розробник підтвердила факт експлуатації, проте подробиці атак не розкрито. Первинний бюлетень вендора в доступних матеріалах не знайдено.
Пріоритети та строки усунення
CISA встановило два дедлайни для федеральних агентств, і їхній розподіл заслуговує на увагу:
- 23 жовтня 2026 року — CVE-2026-106931 (SiteGuard, CVSS 8.5), CVE-2026-96656 (Plex, CVSS 8.6) і CVE-2026-96654 (Plex, CVSS 6.9)
- 3 листопада 2026 року — CVE-2026-110936 (Siemens, CVSS 8.4)
Показово, що пріоритизація строків не збігається з ранжуванням за CVSS. Вразливість Siemens з оцінкою 8.4 отримала більш пізній дедлайн, тоді як вразливість Plex CVE-2026-96654 з оцінкою 6.9 потрапила до групи прискореного усунення. Це підкреслює, що CISA під час встановлення строків враховує не лише формальну критичність, а й контекст експлуатації, наявність виправлень і масштаб впливу. Для команд безпеки це означає, що орієнтуватися слід саме на дедлайни KEV, а не на CVSS-оцінки як єдиний критерій пріоритизації.
Оцінка впливу
Plex Media Server широко використовується як у домашніх, так і в корпоративних середовищах для організації медіаконтенту. Його присутність у федеральних мережах може здатися неочікуваною, але практика тіньових ІТ-сервісів робить це цілком реальним. Вразливості класу SSRF і керування шляхами до файлів у поєднанні створюють серйозний вектор атаки, що потенційно дає змогу зловмиснику переміщатися внутрішньою мережею.
Siemens Software Center — інструмент керування програмним забезпеченням Siemens, який застосовується в промислових і корпоративних середовищах. DLL sideloading у такому продукті особливо небезпечний, оскільки може бути використаний для закріплення в інфраструктурі підприємств із критичною інфраструктурою.
SiteGuard Server Edition — рішення для захисту вебзастосунків (WAF), популярне на японському ринку. Вразливість впровадження команд у самому засобі захисту створює парадоксальну ситуацію: інструмент безпеки стає точкою входу для атакувальників.
Рекомендації
- Plex Media Server: оновіть до версії 1.43.3.10861 або новішої. Якщо негайне оновлення неможливе, обмежте мережевий доступ до сервера Plex, вилучивши його з публічного доступу та сегментувавши від критичних ресурсів.
- Siemens Software Center: перевірте наявність оновлень у бюлетенях Siemens ProductCERT. До встановлення патча контролюйте цілісність DLL-бібліотек, які завантажує застосунок, і обмежте права запису в каталоги інсталяції.
- SiteGuard Server Edition: зв’яжіться з EG Secure Solutions, щоб отримати актуальне виправлення. Проведіть аудит конфігурації WAF і перевірте журнали на ознаки несанкціонованого виконання команд.
- Усі перелічені CVE слід додати до пріоритетного списку усунення незалежно від належності до FCEB — каталог KEV відображає реальну експлуатацію, а не теоретичний ризик.
З огляду на те, що CVSS-оцінки й деталі експлуатації для вразливостей Plex отримані з єдиного новинного джерела і не підтверджені незалежно через записи NVD або бюлетені вендора, організаціям слід відстежувати появу офіційних рекомендацій Plex, Siemens і EG Secure Solutions. Втім, сам факт включення до каталогу KEV — достатня підстава для негайного реагування: оновіть задіяні продукти до строків, встановлених CISA, і проведіть перевірку мереж на наявність непатчених екземплярів Plex Media Server, Siemens Software Center і SiteGuard Server Edition.
