El 20 de octubre de 2026, la Agencia de Ciberseguridad y Seguridad de la Infraestructura de EE. UU. (CISA) amplió el catálogo Known Exploited Vulnerabilities (KEV) con nuevos registros que afectan a tres productos: Plex Media Server, Siemens Software Center y EG Secure Solutions SiteGuard Server Edition. Se han establecido plazos ajustados de corrección para las agencias federales civiles (FCEB): hasta el 23 de octubre y el 3 de noviembre de 2026. La inclusión en KEV implica explotación activa confirmada, lo que hace que el parcheo rápido sea de importancia crítica no solo para los organismos públicos, sino también para cualquier organización que utilice estos productos.
Vulnerabilidades de Plex Media Server: cadena Plex2Shell
Según el informe original, cuatro vulnerabilidades en Plex Media Server se agrupan bajo la denominación común Plex2Shell:
- CVE-2026-96652 (CVSS 5.3): falsificación de solicitudes del lado del servidor (SSRF)
- CVE-2026-96654 (CVSS 6.9): neutralización incorrecta de esquemas URI codificados en una página web
- CVE-2026-96655 (CVSS 5.3): falsificación de solicitudes del lado del servidor (SSRF)
- CVE-2026-96656 (CVSS 8.6): control externo del nombre de archivo o de la ruta de acceso
Según el informe original, las correcciones se incluyen en Plex Media Server versión 1.43.3.10861, publicada el 3 de agosto de 2026. Sin embargo, cabe señalar que no se ha encontrado en los materiales disponibles ningún aviso de seguridad oficial de Plex que indique el rango de versiones vulnerables, por lo que el panorama completo de las versiones afectadas sigue sin establecerse.
Importante discrepancia en los datos: el encabezado de la alerta de CISA menciona seis vulnerabilidades; sin embargo, en el paquete determinista KEV solo se han registrado cuatro entradas: CVE-2026-96654, CVE-2026-96656, CVE-2026-110936 y CVE-2026-106931. Las vulnerabilidades CVE-2026-96652 y CVE-2026-96655 no figuran en este paquete. Esto puede deberse a particularidades del espejado de datos o a que estas dos CVE se añadieran por separado. Se recomienda a las organizaciones que se orienten por la lista completa de seis CVE y corrijan las cuatro vulnerabilidades de Plex, sin esperar aclaraciones.
Siemens Software Center y SiteGuard
Además de las vulnerabilidades de Plex, CISA señaló otros dos fallos explotados activamente:
- CVE-2026-110936 (CVSS 8.4): vulnerabilidad de carga de DLL maliciosas (DLL sideloading) en Siemens Software Center. Según el informe original, este fallo se utiliza en ataques de tipo ClickFix mediante una plataforma denominada Romulus; sin embargo, estos detalles de explotación no han recibido confirmación independiente en los materiales disponibles.
- CVE-2026-106931 (CVSS 8.5): vulnerabilidad de inyección de comandos (command injection) en EG Secure Solutions SiteGuard Server Edition. Según el informe original, la empresa japonesa desarrolladora ha confirmado el hecho de la explotación, pero no se han revelado detalles de los ataques. No se ha encontrado el aviso inicial del proveedor en los materiales disponibles.
Prioridades y plazos de corrección
CISA ha establecido dos fechas límite para las agencias federales, y su distribución merece atención:
- 23 de octubre de 2026: CVE-2026-106931 (SiteGuard, CVSS 8.5), CVE-2026-96656 (Plex, CVSS 8.6) y CVE-2026-96654 (Plex, CVSS 6.9)
- 3 de noviembre de 2026: CVE-2026-110936 (Siemens, CVSS 8.4)
Es reseñable que la priorización de los plazos no coincide con la clasificación por CVSS. La vulnerabilidad de Siemens con una puntuación de 8.4 ha recibido una fecha límite más tardía, mientras que la vulnerabilidad de Plex CVE-2026-96654, con una puntuación de 6.9, ha entrado en el grupo de corrección acelerada. Esto pone de relieve que, al fijar los plazos, CISA tiene en cuenta no solo la criticidad formal, sino también el contexto de explotación, la disponibilidad de parches y el alcance del impacto. Para los equipos de seguridad, esto significa que deben guiarse precisamente por las fechas límite de KEV, y no por las puntuaciones CVSS como único criterio de priorización.
Evaluación del impacto
Plex Media Server se utiliza ampliamente tanto en entornos domésticos como corporativos para la organización de contenido multimedia. Su presencia en redes federales puede parecer inesperada, pero la práctica de los servicios de TI en la sombra hace que esto sea perfectamente posible. Las vulnerabilidades de tipo SSRF y de gestión de rutas de archivos en combinación crean un vector de ataque serio que potencialmente permite a un atacante moverse por la red interna.
Siemens Software Center es una herramienta de gestión de software de Siemens que se emplea en entornos industriales y corporativos. El DLL sideloading en un producto de este tipo es especialmente peligroso, ya que puede utilizarse para establecer persistencia en la infraestructura de empresas con infraestructuras críticas.
SiteGuard Server Edition es una solución de protección de aplicaciones web (WAF) popular en el mercado japonés. Una vulnerabilidad de inyección de comandos en la propia herramienta de protección crea una situación paradójica: la propia herramienta de seguridad se convierte en punto de entrada para los atacantes.
Recomendaciones
- Plex Media Server: actualice a la versión 1.43.3.10861 o posterior. Si no es posible actualizar de inmediato, limite el acceso de red al servidor Plex, excluyéndolo del acceso público y segmentándolo de los recursos críticos.
- Siemens Software Center: compruebe la disponibilidad de actualizaciones en los avisos de Siemens ProductCERT. Hasta la instalación del parche, controle la integridad de las bibliotecas DLL cargadas por la aplicación y limite los permisos de escritura en los directorios de instalación.
- SiteGuard Server Edition: póngase en contacto con EG Secure Solutions para obtener la corrección actualizada. Realice una auditoría de la configuración del WAF y revise los registros en busca de indicios de ejecución no autorizada de comandos.
- Todas las CVE enumeradas deben añadirse a la lista prioritaria de corrección con independencia de la pertenencia al FCEB: el catálogo KEV refleja explotación real, no riesgo teórico.
Dado que las puntuaciones CVSS y los detalles de explotación de las vulnerabilidades de Plex se han obtenido de una única fuente de noticias y no se han confirmado de forma independiente a través de los registros de NVD o de avisos del proveedor, las organizaciones deben seguir de cerca la publicación de recomendaciones oficiales de Plex, Siemens y EG Secure Solutions. No obstante, el mero hecho de la inclusión en el catálogo KEV es motivo suficiente para reaccionar de inmediato: actualice los productos afectados dentro de los plazos establecidos por CISA y compruebe sus redes en busca de instancias sin parchear de Plex Media Server, Siemens Software Center y SiteGuard Server Edition.
