20 октября 2026 года Агентство по кибербезопасности и защите инфраструктуры США (CISA) пополнило каталог Known Exploited Vulnerabilities (KEV) новыми записями, затрагивающими три продукта: Plex Media Server, Siemens Software Center и EG Secure Solutions SiteGuard Server Edition. Федеральным гражданским агентствам (FCEB) установлены сжатые сроки устранения — до 23 октября и 3 ноября 2026 года. Внесение в KEV означает подтверждённую активную эксплуатацию, что делает оперативный патчинг критически важным не только для государственных структур, но и для любых организаций, использующих эти продукты.
Уязвимости Plex Media Server: цепочка Plex2Shell
Согласно исходному отчёту, четыре уязвимости в Plex Media Server объединены под общим названием Plex2Shell:
- CVE-2026-96652 (CVSS 5.3) — подделка запросов на стороне сервера (SSRF)
- CVE-2026-96654 (CVSS 6.9) — некорректная нейтрализация закодированных URI-схем на веб-странице
- CVE-2026-96655 (CVSS 5.3) — подделка запросов на стороне сервера (SSRF)
- CVE-2026-96656 (CVSS 8.6) — внешнее управление именем файла или путём
По данным исходного отчёта, исправления включены в Plex Media Server версии 1.43.3.10861, выпущенной 3 августа 2026 года. Однако следует отметить, что официальный бюллетень безопасности Plex с указанием диапазона уязвимых версий в доступных материалах не обнаружен, поэтому полная картина затронутых версий остаётся неустановленной.
Важное расхождение в данных: заголовок оповещения CISA упоминает шесть уязвимостей, однако в детерминистическом пакете KEV зафиксированы только четыре записи — CVE-2026-96654, CVE-2026-96656, CVE-2026-110936 и CVE-2026-106931. Уязвимости CVE-2026-96652 и CVE-2026-96655 в этом пакете отсутствуют. Это может быть связано с особенностями зеркалирования данных или с тем, что эти две CVE были добавлены отдельно. Организациям рекомендуется ориентироваться на полный список из шести CVE и устранять все четыре уязвимости Plex, не дожидаясь уточнений.
Siemens Software Center и SiteGuard
Помимо уязвимостей Plex, CISA отметила ещё два активно эксплуатируемых дефекта:
- CVE-2026-110936 (CVSS 8.4) — уязвимость подгрузки вредоносных DLL (DLL sideloading) в Siemens Software Center. Согласно исходному отчёту, этот дефект используется в атаках типа ClickFix с применением платформы под названием Romulus, однако эти детали эксплуатации не получили независимого подтверждения в доступных материалах.
- CVE-2026-106931 (CVSS 8.5) — уязвимость внедрения команд (command injection) в EG Secure Solutions SiteGuard Server Edition. По данным исходного отчёта, японская компания-разработчик подтвердила факт эксплуатации, но подробности атак не раскрыты. Первичный бюллетень вендора в доступных материалах не найден.
Приоритеты и сроки устранения
CISA установила два дедлайна для федеральных агентств, и их распределение заслуживает внимания:
- 23 октября 2026 года — CVE-2026-106931 (SiteGuard, CVSS 8.5), CVE-2026-96656 (Plex, CVSS 8.6) и CVE-2026-96654 (Plex, CVSS 6.9)
- 3 ноября 2026 года — CVE-2026-110936 (Siemens, CVSS 8.4)
Примечательно, что приоритизация сроков не совпадает с ранжированием по CVSS. Уязвимость Siemens с оценкой 8.4 получила более поздний дедлайн, тогда как уязвимость Plex CVE-2026-96654 с оценкой 6.9 попала в группу ускоренного устранения. Это подчёркивает, что CISA при установке сроков учитывает не только формальную критичность, но и контекст эксплуатации, доступность исправлений и масштаб воздействия. Для команд безопасности это означает, что ориентироваться следует именно на дедлайны KEV, а не на CVSS-оценки как единственный критерий приоритизации.
Оценка воздействия
Plex Media Server широко используется как в домашних, так и в корпоративных средах для организации медиаконтента. Его присутствие в федеральных сетях может показаться неожиданным, но практика теневых ИТ-сервисов делает это вполне реальным. Уязвимости класса SSRF и управления путями к файлам в сочетании создают серьёзный вектор атаки, потенциально позволяющий злоумышленнику перемещаться по внутренней сети.
Siemens Software Center — инструмент управления программным обеспечением Siemens, применяемый в промышленных и корпоративных средах. DLL sideloading в таком продукте особенно опасен, поскольку может быть использован для закрепления в инфраструктуре предприятий с критической инфраструктурой.
SiteGuard Server Edition — решение для защиты веб-приложений (WAF), популярное на японском рынке. Уязвимость внедрения команд в самом средстве защиты создаёт парадоксальную ситуацию: инструмент безопасности становится точкой входа для атакующих.
Рекомендации
- Plex Media Server: обновите до версии 1.43.3.10861 или новее. Если немедленное обновление невозможно, ограничьте сетевой доступ к серверу Plex, исключив его из публичного доступа и сегментировав от критических ресурсов.
- Siemens Software Center: проверьте наличие обновлений в бюллетенях Siemens ProductCERT. До установки патча контролируйте целостность DLL-библиотек, загружаемых приложением, и ограничьте права записи в каталоги установки.
- SiteGuard Server Edition: свяжитесь с EG Secure Solutions для получения актуального исправления. Проведите аудит конфигурации WAF и проверьте журналы на признаки несанкционированного выполнения команд.
- Все перечисленные CVE следует добавить в приоритетный список устранения вне зависимости от принадлежности к FCEB — каталог KEV отражает реальную эксплуатацию, а не теоретический риск.
Учитывая, что CVSS-оценки и детали эксплуатации для уязвимостей Plex получены из единственного новостного источника и не подтверждены независимо через записи NVD или бюллетени вендора, организациям следует отслеживать появление официальных рекомендаций Plex, Siemens и EG Secure Solutions. Тем не менее сам факт включения в каталог KEV — достаточное основание для немедленного реагирования: обновите затронутые продукты до сроков, установленных CISA, и проведите проверку сетей на наличие непатченных экземпляров Plex Media Server, Siemens Software Center и SiteGuard Server Edition.
