أضافت وكالة الأمن السيبراني وأمن البنية التحتية الأمريكية CISA، يوم الثلاثاء الموافق العشرين من أكتوبر 2026، ست ثغرات إلى كتالوج الثغرات المستغلة المعروفة، بينها أربع ثغرات تؤثر في خادم الوسائط Plex Media Server ويُطلق عليها مجتمعة اسم Plex2Shell. وأمرت الوكالة هيئات الفرع التنفيذي المدني الاتحادي بتطبيق الإصلاحات، فحددت الثالث والعشرين من أكتوبر 2026 موعداً نهائياً للثغرات CVE-2026-106931 وCVE-2026-96656 وCVE-2026-96654، والثالث من نوفمبر 2026 موعداً لبقية الثغرات.
ثغرات Plex2Shell الأربع
تشمل الثغرات الأربع في Plex Media Server ثغرتين من نوع تزوير الطلبات من جهة الخادم SSRF، هما CVE-2026-96652 بدرجة خطورة 5.3 وCVE-2026-96655 بدرجة 5.3. وتضم كذلك CVE-2026-96654 بدرجة 6.9 وهي خلل في تعطيل ترميزات عناوين URI داخل صفحة ويب بشكل غير سليم، وCVE-2026-96656 بدرجة 8.6 وهي ثغرة تتيح التحكم الخارجي في اسم الملف أو مساره.
وبحسب الباحث الأمني زاك مين، الذي اكتشف الثغرات وأبلغ عنها، يستطيع مهاجم عن بُعد ربط الثغرات الأربع معاً لتحقيق تنفيذ شيفرة عن بُعد دون مصادقة. وقد عالج Plex هذه المشكلات في الإصدار 1.43.3.10861 الذي صدر في الثالث من أغسطس 2026.
وجاءت إضافة الثغرات إلى الكتالوج بعد تقرير للباحث الأمني boredhackerblog، وجد فيه أن جهات التهديد تستغل هذه الثغرات لنشر برامج تعدين العملات المشفرة وبرمجيات الوكيل الخبيثة.
ثغرتان أخريان مستغلتان
أشارت CISA كذلك إلى ثغرتين أخريين قيد الاستغلال الفعلي. الأولى هي CVE-2026-110936 بدرجة خطورة 8.4، وهي ثغرة تحميل مكتبات DLL جانبياً في Siemens Software Center، وقد أُسيء استخدامها في هجمات ClickFix عبر منصة تسمى Romulus.
أما الثانية فهي CVE-2026-106931 بدرجة 8.5، وهي ثغرة حقن أوامر في EG Secure Solutions SiteGuard Server Edition، وأكدت الشركة اليابانية استغلالها. ولا تتوافر حالياً تفاصيل إضافية عن نشاط الاستغلال.
