Il 20 ottobre 2026 il CSIRT Italia, il gruppo dell’Agenzia per la cybersicurezza nazionale che si occupa di incidenti informatici, ha segnalato lo sfruttamento attivo di quattro vulnerabilità in Plex Media Server, il programma che permette di gestire e trasmettere in rete una raccolta di contenuti multimediali. Il produttore ha già corretto le falle. Secondo l’alert è disponibile in rete anche un Proof of Concept, cioè un codice dimostrativo che mostra come sfruttarle in sequenza. L’impatto sistemico è classificato come critico (79.23).
Chi è coinvolto
L’alert indica come interessate le seguenti versioni:
- Plex Media Server, versioni precedenti alla 1.43.3.10861
Le vulnerabilità sono CVE-2026-96652, CVE-2026-96654, CVE-2026-96655 e CVE-2026-96656. Per tutte e quattro l’alert indica che esistono sia un codice dimostrativo sia uno sfruttamento in corso.
Che rischio c’è
La catena di attacco è stata chiamata Plex2Shell. Le quattro falle, usate una dopo l’altra, potrebbero permettere a un attaccante remoto e non autenticato, cioè senza bisogno di una password, di prendere il controllo del server.
Il primo passaggio (CVE-2026-96652, punteggio CVSS 4.3) è una Server-Side Request Forgery: si induce il server a inviare richieste verso i propri servizi interni. Il secondo (CVE-2026-96654, CVSS 6.5) consentirebbe di richiamare funzioni dei plugin e di ottenere il token amministrativo, la chiave che dà accesso ai comandi riservati. Con il terzo (CVE-2026-96655, CVSS 4.3) il server verrebbe indotto a scaricare un video predisposto e a scriverne i dati come libreria condivisa, un file di codice che i programmi caricano all’occorrenza, nella cartella dei codec.
L’ultimo passaggio (CVE-2026-96656) riguarda il caricamento di quella libreria senza adeguati controlli. Secondo l’alert, una successiva transcodifica, cioè la conversione del video in un altro formato, porterebbe a eseguire codice arbitrario con i privilegi del servizio Plex Media Server. Il punteggio CVSS di questa falla è 7.2, ma sale a 9.8 se le vulnerabilità sono concatenate.
Cosa fare
L’alert raccomanda di aggiornare tempestivamente Plex Media Server all’ultima versione disponibile, seguendo le indicazioni nei riferimenti dell’alert, tra cui il forum ufficiale di Plex. Il CSIRT consiglia inoltre di valutare l’inserimento degli Indicatori di Compromissione, cioè le tracce tecniche che segnalano un possibile attacco, nei propri apparati di sicurezza. Il documento precisa che non tutti gli indicatori sono necessariamente malevoli.
Per chi gestisce un server Plex è utile verificare quale versione sia installata e se gli aggiornamenti automatici siano attivi. Chi si affida a un fornitore IT può chiedere conferma che l’aggiornamento sia stato applicato.
Fonte: alert AL05/261020/CSIRT-ITA del CSIRT Italia, Agenzia per la cybersicurezza nazionale, pubblicato il 20 ottobre 2026 (impatto sistemico critico). Leggi l’alert originale.
