【ITニュース解説】How the four Plex CVEs relate: three request flaws and one path to code execution

Plex Media Serverは、ユーザーが自身の持つ動画や音楽などのメディアコンテンツを、さまざまなデバイスで手軽に楽しむための便利なソフトウェアである。しかし、このPlex Media Serverに複数のセキュリティ上の弱点（脆弱性）が見つかり、その詳細が報告された。今回は、これらの脆弱性がどのようなものか、そしてなぜまとめて修正されたのかを、システムエンジニアを目指す初心者にも分かりやすく解説する。

今回報告された脆弱性は全部で四つあり、それぞれに「CVE」という識別番号がつけられている。CVEとは「Common Vulnerabilities and Exposures」の略で、世界中で公開されているセキュリティ脆弱性に対して割り当てられる共通の識別子だ。具体的な識別番号はCVE-2026-96652、CVE-2026-96654、CVE-2026-96655、そしてCVE-2026-96656の四つである。これらは一見すると別々の問題に見えるが、実は共通の原因を持っていたり、組み合わさることでより深刻な被害につながったりする可能性がある。これらの脆弱性が影響するPlex Media Serverのバージョンは1.43.3.10861よりも前の全てであり、このバージョン以降にアップデートすることで全ての問題が解決される。

まず、三つの脆弱性（CVE-2026-96652、CVE-2026-96654、CVE-2026-96655）に共通するメカニズムについて説明しよう。これらは「リクエストの不適切な処理」というパターンを共有している。Plex Media Serverは、ユーザーや外部からの要求（リクエスト）に応じて、様々な情報やファイルを取得したり処理したりする。この時、リクエストに含まれるデータ、例えば「どこから情報を取得するか」を示すURLの一部や、特定の処理を行うための名前などを、サーバーが安易に信用してしまうことが問題の根源だ。通常、サーバーは自身が信頼できる範囲からの情報のみを処理すべきだが、これらの脆弱性では、外部からの悪意ある入力をそのまま受け入れてしまい、予期せぬ動作を引き起こしてしまう。

具体的な脆弱性の一つは「SSRF（Server-Side Request Forgery）」と呼ばれるタイプだ。これは、攻撃者がサーバーをだまして、本来アクセスできないはずの内部ネットワーク上のシステムや、インターネット上の任意のサーバーにリクエストを送信させることを可能にする。例えば、サーバー内部にしかアクセスできない機密情報が置かれている場合、攻撃者はPlex Media Serverを踏み台にしてその情報にアクセスしようとする。CVE-2026-96652（タイムラインSSRF）とCVE-2026-96655（トランスコード任意ホストSSRF）がこれに該当し、これらを悪用するには、攻撃者はPlexのアカウント情報（トークンやアカウント）を持っている必要がある。

もう一つのリクエスト関連の脆弱性、CVE-2026-96654は「URLインジェクション」と呼ばれるもので、これはサーバーが検索機能で使うURLに悪意のあるデータを挿入できてしまうという問題だ。この脆弱性の特に危険な点は、悪用するために何らかの認証が全く必要ない、つまり誰でも攻撃できてしまう点にある。

これら三つのリクエスト関連の脆弱性によって主に引き起こされる被害は「情報漏洩」だ。攻撃者はサーバー内部の情報にアクセスしたり、Plex Media Serverが本来アクセスすべきではない外部のウェブサイトにデータを送信させたりすることで、ユーザーのプライベートな情報が外部に流出する危険がある。URLインジェクションの場合は、情報漏洩に加えて、サーバーが意図しないデータを処理してしまうことで、システム全体の整合性が損なわれる可能性もわずかながら存在する。

そして、四つ目の脆弱性であるCVE-2026-96656は、これらとは少し異なる深刻な問題だ。これは「TranscoderH264Options任意ファイル書き込み」と呼ばれ、Plex Media Serverがメディアファイルを変換する際に使う設定（トランスコード設定）が悪用されることで、サーバー上に任意のファイルを書き込めてしまうという脆弱性である。この脆弱性を悪用するには、攻撃者はPlex Media Serverの管理者権限を持っている必要がある。管理者権限を持った攻撃者は、トランスコードの設定を不正に変更し、その結果、サーバーの起動時などに自動的に実行されるプログラムファイルなどを書き込むことができる。これにより、最終的には攻撃者がサーバー上で自由にプログラムを実行できてしまう「コード実行」と呼ばれる極めて深刻な状態を引き起こす。コード実行は、サーバーが完全に攻撃者に乗っ取られることを意味し、機密情報の窃取はもちろん、サーバーの破壊や、他のシステムへの攻撃の踏み台にされるなど、考えられるあらゆる被害につながる可能性がある。CISA（米国のサイバーセキュリティ・インフラセキュリティ庁）の評価でも、この脆弱性は技術的影響が「完全」とされ、情報漏洩、データの改ざん、システムの停止という、全ての側面で非常に高いリスクがあると指摘されている。

今回の報告では、セキュリティ検索エンジンのZoomEyeを使った調査で、約50万件ものPlex Media Serverがインターネットに直接公開されていることが明らかになった。これは、多くのPlex Media Serverが外部からのアクセスに晒されており、パッチが適用されていないインスタンスは潜在的な攻撃対象となりうることを示している。

このような複数の危険な脆弱性が発見されたことに対し、Plex Media Serverの提供元は迅速に対応し、バージョン1.43.3.10861でこれらの全ての脆弱性を修正するアップデートをリリースした。したがって、最も重要な対策は、できるだけ早くPlex Media Serverをこのバージョン以降にアップデートすることだ。アップデート後は、実際に正しいバージョンが動作していることを確認することも忘れてはならない。

アップデートまでの間に一時的なリスクを軽減する対策もいくつかある。例えば、Plex Media Serverの「検索（search）」機能や「タイムライン（timeline）」機能が外部に公開されている場合は、これを信頼できるネットワーク内からのアクセスに制限することが推奨される。また、Plex Media Serverの管理者アカウントの数を最小限に抑えることも重要だ。管理者アカウントはコード実行につながる脆弱性の悪用経路となるため、不要なアカウントは削除し、必要なアカウントも厳重に管理する必要がある。さらに、サーバーのプラグインディレクトリ内に見慣れないファイルが共有オブジェクトとして作成されていないか、常に監視することも有効な対策の一つとなる。これは、ファイル書き込みの脆弱性が悪用された際の兆候を早期に発見するためだ。

今回のPlex Media Serverの脆弱性に関する一連の報告は、システムを安全に保つ上で重要な教訓を与えてくれる。単一のソフトウェアであっても、複数の脆弱性が同時に存在し、それらが組み合わさることで非常に深刻な事態につながる可能性がある。特に、外部からの入力を安易に信用しないこと、そして定期的なアップデートを怠らないことが、サイバーセキュリティの脅威から身を守るための基本中の基本であることを再認識させてくれる事例である。システムエンジニアを目指す上では、このような脆弱性のメカニズムや影響、そして適切な対策について理解を深めることが不可欠だ。