Sechs Schwachstellen in Plex Media Server, Siemens und SiteGuard im CISA-KEV-Katalog mit engen Patch-Fristen

Am 20. Oktober 2026 hat die US-amerikanische Cybersecurity and Infrastructure Security Agency (CISA) den Katalog um neue Einträge im Known Exploited Vulnerabilities (KEV)-Katalog erweitert, die drei Produkte betreffen: Plex Media Server, Siemens Software Center und EG Secure Solutions SiteGuard Server Edition. Für die zivilen Bundesbehörden (FCEB) wurden enge Fristen für die Behebung festgelegt – bis zum 23. Oktober bzw. 3. November 2026. Die Aufnahme in den KEV bedeutet eine bestätigte aktive Ausnutzung, was ein zügiges Einspielen von Patches nicht nur für staatliche Stellen, sondern für alle Organisationen, die diese Produkte einsetzen, kritisch macht.

Schwachstellen im Plex Media Server: die Plex2Shell-Kette

Laut dem ursprünglichen Bericht werden vier Schwachstellen im Plex Media Server unter dem gemeinsamen Namen Plex2Shell zusammengefasst:

• CVE-2026-96652 (CVSS 5.3) – Server-Side Request Forgery (SSRF)
• CVE-2026-96654 (CVSS 6.9) – unzureichende Neutralisierung kodierter URI-Schemata auf einer Webseite
• CVE-2026-96655 (CVSS 5.3) – Server-Side Request Forgery (SSRF)
• CVE-2026-96656 (CVSS 8.6) – externe Steuerung von Dateiname oder -pfad

Nach Angaben des ursprünglichen Berichts sind die Fixes in Plex Media Server Version 1.43.3.10861 enthalten, die am 3. August 2026 veröffentlicht wurde. Es ist jedoch zu beachten, dass in den verfügbaren Unterlagen kein offizieller Plex-Sicherheitshinweis mit Angabe des Bereichs der verwundbaren Versionen gefunden wurde, sodass das vollständige Bild der betroffenen Versionen weiterhin unklar bleibt.

Wichtige Abweichung in den Daten: Die Überschrift der CISA-Mitteilung spricht von sechs Schwachstellen, im deterministischen KEV-Paket sind jedoch nur vier Einträge verzeichnet – CVE-2026-96654, CVE-2026-96656, CVE-2026-110936 und CVE-2026-106931. Die Schwachstellen CVE-2026-96652 und CVE-2026-96655 fehlen in diesem Paket. Dies kann mit Besonderheiten der Datenreplikation zusammenhängen oder damit, dass diese beiden CVE separat hinzugefügt wurden. Organisationen wird empfohlen, sich am vollständigen Satz von sechs CVE zu orientieren und alle vier Plex-Schwachstellen zu beheben, ohne auf weitere Klarstellungen zu warten.

Siemens Software Center und SiteGuard

Neben den Plex-Schwachstellen weist CISA auf zwei weitere aktiv ausgenutzte Defekte hin:

• CVE-2026-110936 (CVSS 8.4) – Schwachstelle für das Nachladen bösartiger DLLs (DLL sideloading) im Siemens Software Center. Dem ursprünglichen Bericht zufolge wird dieser Defekt in ClickFix-Angriffen unter Einsatz einer Plattform namens Romulus verwendet, diese Exploit-Details wurden jedoch in den verfügbaren Unterlagen nicht unabhängig bestätigt.
• CVE-2026-106931 (CVSS 8.5) – Schwachstelle zur Befehlsausführung (command injection) in der EG Secure Solutions SiteGuard Server Edition. Nach Angaben des ursprünglichen Berichts hat der japanische Hersteller die Ausnutzung bestätigt, doch Details zu den Angriffen wurden nicht offengelegt. Ein ursprünglicher Sicherheitshinweis des Herstellers wurde in den verfügbaren Unterlagen nicht gefunden.

Prioritäten und Fristen für die Behebung

CISA hat für die Bundesbehörden zwei Deadlines festgelegt, deren Verteilung bemerkenswert ist:

• 23. Oktober 2026 – CVE-2026-106931 (SiteGuard, CVSS 8.5), CVE-2026-96656 (Plex, CVSS 8.6) und CVE-2026-96654 (Plex, CVSS 6.9)
• 3. November 2026 – CVE-2026-110936 (Siemens, CVSS 8.4)

Auffällig ist, dass die Priorisierung der Fristen nicht mit der Einordnung nach CVSS übereinstimmt. Die Siemens-Schwachstelle mit einem Score von 8.4 erhielt eine spätere Deadline, während die Plex-Schwachstelle CVE-2026-96654 mit einem Score von 6.9 in die Gruppe mit beschleunigter Behebung aufgenommen wurde. Dies unterstreicht, dass CISA bei der Festlegung der Fristen nicht nur die formale Kritikalität berücksichtigt, sondern auch den Exploit-Kontext, die Verfügbarkeit von Patches und das Ausmaß der Auswirkungen. Für Sicherheitsteams bedeutet dies, dass sie sich bei der Priorisierung nicht ausschließlich an CVSS-Scores, sondern vor allem an den KEV-Deadlines orientieren sollten.

Auswirkungsanalyse

Plex Media Server wird sowohl in privaten als auch in Unternehmensumgebungen breit eingesetzt, um Medieninhalte zu organisieren. Seine Präsenz in Netzen von Bundesbehörden mag überraschend erscheinen, die Praxis von Shadow-IT-Services macht dies jedoch durchaus realistisch. Die Kombination aus SSRF-Schwachstellen und Schwachstellen bei der Steuerung von Dateipfaden eröffnet einen ernstzunehmenden Angriffsvektor, der einem Angreifer potenziell eine Bewegung im internen Netzwerk ermöglicht.

Siemens Software Center ist ein Tool zur Verwaltung von Siemens-Software, das in industriellen und Unternehmensumgebungen eingesetzt wird. DLL sideloading in einem solchen Produkt ist besonders gefährlich, da es zur dauerhaften Verankerung in der Infrastruktur von Unternehmen mit kritischer Infrastruktur genutzt werden kann.

SiteGuard Server Edition ist eine Lösung zum Schutz von Webanwendungen (WAF), die auf dem japanischen Markt beliebt ist. Eine Schwachstelle zur Befehlsausführung im eigentlichen Schutzwerkzeug führt zu einer paradoxen Situation: Das Sicherheitsprodukt selbst wird zum Einstiegspunkt für Angreifer.

Empfehlungen

• Plex Media Server: Aktualisieren Sie auf Version 1.43.3.10861 oder neuer. Falls ein sofortiges Update nicht möglich ist, beschränken Sie den Netzwerkzugriff auf den Plex-Server, entfernen Sie ihn aus dem öffentlichen Zugriff und segmentieren Sie ihn von kritischen Ressourcen.
• Siemens Software Center: Prüfen Sie in den Hinweisen von Siemens ProductCERT, ob Updates vorliegen. Bis zur Installation eines Patches sollten Sie die Integrität der vom Programm geladenen DLL-Bibliotheken überwachen und Schreibrechte in den Installationsverzeichnissen einschränken.
• SiteGuard Server Edition: Nehmen Sie Kontakt mit EG Secure Solutions auf, um ein aktuelles Fix zu erhalten. Führen Sie ein Audit der WAF-Konfiguration durch und prüfen Sie die Protokolle auf Anzeichen unautorisierter Befehlsausführung.
• Alle genannten CVE sollten unabhängig von einer FCEB-Zugehörigkeit auf die priorisierte Liste für die Behebung gesetzt werden – der KEV-Katalog spiegelt reale Ausnutzung wider, keinen rein theoretischen Risikowert.

Angesichts der Tatsache, dass CVSS-Bewertungen und Exploit-Details für die Plex-Schwachstellen aus einer einzigen Nachrichtenquelle stammen und weder durch NVD-Einträge noch durch Herstellerhinweise unabhängig bestätigt sind, sollten Organisationen auf das Erscheinen offizieller Empfehlungen von Plex, Siemens und EG Secure Solutions achten. Dennoch ist die bloße Aufnahme in den KEV-Katalog ein hinreichender Grund für sofortige Reaktion: Aktualisieren Sie die betroffenen Produkte innerhalb der von CISA gesetzten Fristen und überprüfen Sie Ihre Netze auf ungepatchte Instanzen von Plex Media Server, Siemens Software Center und SiteGuard Server Edition.