Три продукта са добавени към каталога на активно експлоатираните уязвимости на американската агенция CISA. Сред тях са критична верига от слабости в Plex Media Server, уязвимост в Siemens Software Center и пропуск във защитната стена за уеб приложения SiteGuard.

Американската агенция за киберсигурност и инфраструктурна сигурност (CISA) предупреждава за активна експлоатация на уязвимости в три софтуерни продукта. Случаите засягат както популярни домашни медийни сървъри, така и корпоративен софтуер и средства за защита на уеб приложения.

Включването на уязвимостите в каталога Known Exploited Vulnerabilities (KEV) е сигнал, че организациите трябва да проверят дали използват засегнатите продукти и да предприемат действия за ограничаване на риска.

Plex2Shell: верига от уязвимости с критичен потенциал

CISA предупреждава за четири уязвимости в Plex Media Server, обединени под името Plex2Shell. При комбинираното им използване нападател може да получи административния токен на собственика и да изпълнява код с повишени привилегии.

Plex Media Server позволява организиране и стрийминг на лични колекции от филми, телевизионни предавания, музика и снимки както в домашната мрежа, така и през интернет. Това прави изложените към външни мрежи инсталации особено важни за проверка.

Уязвимостите са открити от изследователя по сигурността Зак Мейн, който ги е докладвал отговорно на Plex на 27 юли. Отделните пропуски са оценени със средна до висока степен на сериозност, но изследователят определя цялата верига за експлоатация с критична оценка CVSS 9,8.

Четирите уязвимости са:

• CVE-2026-96652 – SSRF уязвимост в /player/timeline, позволяваща на неавтентикирани нападатели да предизвикват изпращане на POST заявки към произволни адреси, включително вътрешни API интерфейси на Plex.
• CVE-2026-96654 – инжектиране на URL адреси във функцията searchOne, което позволява извикване на функции на други плъгини с контролирани от нападателя параметри.
• CVE-2026-96655 – SSRF уязвимост в крайна точка на транскодера, чрез която автентикирани потребители могат да накарат Plex да изпраща заявки към произволни вътрешни или външни адреси.
• CVE-2026-96656 – възможност за запис на произволни файлове чрез настройките на транскодера. Администратор може да постави злонамерени споделени библиотеки, които Plex впоследствие зарежда, което води до изпълнение на код.

Пълните технически подробности са публикувани на 16 октомври, а три дни по-късно е разпространен и експлойт за доказване на концепцията (PoC). На 17 октомври се появяват съобщения за използване на уязвимостите в реални условия. Първоначално са атакувани изследователски honeypot системи на Plex, като целта е била внедряване на софтуер за добив на криптовалута.

Засегнати са версиите на Plex Media Server преди 1.43.3.10861, публикувана на 4 август. Според CISA федералните агенции на САЩ трябва да приоритизират обновяването или прилагането на подходящи мерки за ограничаване на риска до 23 октомври.

Siemens Software Center е атакуван чрез Romulus

CISA е добавила и CVE-2026-110936 – уязвимост, свързана с неконтролирано използване на елемент от пътя за търсене, в Siemens Software Center (SSC).

На 19 октомври Siemens предупреди за активна експлоатация в кампании, свързани с Romulus – платформа за разпространение на различни видове зловреден софтуер чрез техниката ClickFix.

Според анализ на компанията за киберсигурност в оперативните технологии Forescout Romulus може да представлява частно управляван панел, комерсиална услуга за киберпрестъпници, рамка за партньори или софтуер, копиран и използван от различни оператори. Точният модел на функциониране не е окончателно установен.

Siemens публикува индикатори за компрометиране и препоръки за откриване на засегнати системи. Администраторите трябва да обновят Siemens Software Center до версия 4.0.9.8 или по-нова.

Уязвимост в SiteGuard позволява изпълнение на команди

Третият случай е CVE-2026-106931 – уязвимост от тип OS command injection в SiteGuard Server Edition, защитна стена за уеб приложения (WAF).

Според информацията на производителя и японския екип за реагиране при компютърни инциденти (CERT) слабостта също е била активно експлоатирана.

Успешната атака може да позволи изпълнение на операционни команди с привилегиите на системния потребител root, което създава сериозен риск за засегнатите сървъри.

Препоръчителните версии за обновяване са:

• SiteGuard Server Edition за Apache httpd, Nginx и IIS – версия 8.00 Update 5.
• SiteGuard Server Edition за Apache httpd и Nginx под FreeBSD – версия 7.00 Update 6 или по-нова.

Какво трябва да направят администраторите

Трите случая показват защо наличието на защитно решение не е достатъчно, ако самият продукт съдържа уязвимост, която вече се използва от нападатели. Особено рискови са системите, достъпни директно от интернет, и инфраструктурата, в която компрометиран компонент може да осигури достъп до други ресурси.

Организациите трябва да проверят инсталираните версии на Plex Media Server, Siemens Software Center и SiteGuard, да приложат посочените обновявания и да прегледат логовете за подозрителна активност. Когато незабавното обновяване е невъзможно, достъпът до засегнатите услуги следва да бъде ограничен според реалния риск, докато бъде приложена корекция.

При съмнение за компрометиране само инсталирането на актуализация може да не е достатъчно. Необходимо е да се проверят административните акаунти, токените, стартираните процеси и възможните признаци за изпълнение на код или последващо проникване.