ศูนย์รักษาความมั่นคงปลอดภัยไซเบอร์ มหาวิทยาลัยพะเยา
กลับสู่ศูนย์แจ้งเตือนภัยคุกคาม (All Advisories)
MEDIUMCVSS 6.5TLP:CLEAR
UPCYBER-ADV-2026-076
21 ตุลาคม 256921 ครั้ง

แจ้งเตือนช่องโหว่ความปลอดภัยในการจัดการ URI ใน Plex Media Server (CVE-2026-96654)

CISA KEV: Plex Media Server Improper Neutralization of Encoded URI Schemes in a Web Page Vulnerability in Plex Media Server (CVE-2026-96654)

6.5
CVSS v3.x Score
MEDIUM SEVERITY
ประเภทภัยคุกคาม
ช่องโหว่ความปลอดภัย (Vulnerability)
แหล่งที่มาข้อมูล
CISA KEV
CVE-2026-96654CWE-84Vector: CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:L/I:L/A:N
บทสรุปภาพรวม (Executive Summary)

ศูนย์รักษาความมั่นคงปลอดภัยไซเบอร์ มหาวิทยาลัยพะเยา ขอแจ้งเตือนช่องโหว่ความปลอดภัยรหัส CVE-2026-96654 ในระบบ Plex Media Server ซึ่งมีความบกพร่องในการตรวจสอบและจัดการค่า URI ที่ถูกเข้ารหัสในหน้าเว็บ ช่องโหว่นี้ช่วยให้ผู้ไม่หวังสามารถเรียกใช้งานฟังก์ชันของปลั๊กอินอื่นและระบุพารามิเตอร์เองได้ ซึ่งอาจถูกนำไปเชื่อมโยงกับช่องโหว่อื่นเพื่อยกระดับความรุนแรงของการโจมตี

ตารางวิเคราะห์ระบบที่ได้รับผลกระทบและการแก้ไข (Matrix)
ผลิตภัณฑ์และเวอร์ชันที่พบช่องโหว่ (Affected)
Plex Media Server
เวอร์ชันที่ได้รับการแก้ไขแล้ว (Fixed / Patched)
อัปเดต Plex Media Server เป็นเวอร์ชัน 1.43.3.10861 หรือเวอร์ชันล่าสุดที่ได้รับการแก้ไขจากผู้พัฒนา
รายละเอียดช่องโหว่และรูปแบบการโจมตี

รายละเอียดเชิงเทคนิค (Technical Details)

ช่องโหว่ความปลอดภัยรหัส CVE-2026-96654 จัดอยู่ในประเภท CWE-84 (Improper Neutralization of Encoded URI Schemes in a Web Page) มีคะแนนความรุนแรงตามมาตรฐาน CVSS v3.1 อยู่ที่ระดับ 6.5 (ปานกลาง) โดยมีรายละเอียดดังนี้:

  • ส่วนที่ได้รับผลกระทบ: ระบบ Plex Media Server เวอร์ชันก่อนหน้า 1.43.3.10861
  • กลไกการโจมตี: ระบบไม่ทำการตรวจสอบและล้างค่า URL (Improper Neutralization) ที่ถูกส่งเข้ามาผ่านพารามิเตอร์ 'searchOne' อย่างถูกต้อง ส่งผลให้ผู้โจมตีสามารถอาศัยช่องโหว่นี้ในการเรียกใช้งานฟังก์ชันภายในของปลั๊กอินอื่น ๆ และกำหนดพารามิเตอร์ได้ตามความต้องการ
  • ความเสี่ยงในการเชื่อมโยงการโจมตี (Attack Chaining): ช่องโหว่นี้สามารถถูกนำไปใช้ร่วมกับช่องโหว่อื่น ๆ ได้แก่ CVE-2026-96652, CVE-2026-96655 และ CVE-2026-96656 เพื่อเพิ่มขอบเขตและความรุนแรงในการโจมตีระบบเป้าหมาย
  • ผลกระทบต่อองค์กร: ผู้ไม่หวังสามารถเข้าถึงข้อมูลหรือควบคุมการทำงานบางส่วนของระบบผ่านฟังก์ชันปลั๊กอินที่ไม่ได้รับอนุญาต ซึ่งก่อให้เกิดความเสี่ยงต่อความลับและความถูกต้องของข้อมูลภายในองค์กร
ข้อเสนอแนะและมาตรการการปฏิบัติ (Recommendations & Workarounds)

แนวทางการปฏิบัติและการบรรเทาผลกระทบ (Mitigation & Recommendations)

  • อัปเดตซอฟต์แวร์: ผู้ดูแลระบบควรดำเนินการตรวจสอบและอัปเดต Plex Media Server ให้เป็นเวอร์ชันล่าสุด (เวอร์ชัน 1.43.3.10861 หรือใหม่กว่า) ตามคำแนะนำของผู้ผลิตอย่างเร่งด่วน
  • จำกัดการเข้าถึงจากภายนอก: ตรวจสอบและจำกัดการเข้าถึงบริการ Plex Media Server ไม่ให้เปิดเผยสู่สาธารณะโดยไม่จำเป็น (ลด Internet Exposure) โดยควรใช้งานผ่านเครือข่ายส่วนตัวเสมือน (VPN) หรือจำกัดสิทธิ์การเข้าถึงด้วยไฟร์วอลล์
  • การปฏิบัติตามกรอบความปลอดภัย: หน่วยงานที่มีการใช้งานควรปฏิบัติตามแนวทางการจัดการช่องโหว่ตามมาตรฐานสากล รวมถึงการตรวจสอบบันทึกเหตุการณ์ (Forensics Triage) หากพบความผิดปกติในการเรียกใช้งานปลั๊กอิน
  • การติดตามข่าวสาร: ติดตามประกาศและคำแนะนำด้านความปลอดภัยจากทางผู้พัฒนา Plex และ CISA อย่างใกล้ชิด
// แหล่งข้อมูลอ้างอิง (References)
แชร์การแจ้งเตือนนี้:

การแจ้งเตือนภัยคุกคามที่เกี่ยวข้อง (Related Advisories)

HIGH 30 ต.ค. 2569

แจ้งเตือนช่องโหว่ความปลอดภัยในการสร้างหมายเลขหรือตัวระบุที่คาดเดาได้ใน Ivanti Connect Secure (CVE-2026-118527)

HIGH 7.030 ต.ค. 2569

แจ้งเตือนช่องโหว่ความปลอดภัยระดับความรุนแรงสูงใน Ivanti Connect Secure (CVE-2026-111357)

CRITICAL 29 ต.ค. 2569

Google และ Mozilla อัปเดต Chrome และ Firefox แก้ช่องโหว่รวมกว่า 200 รายการ

HIGH 8.629 ต.ค. 2569

แจ้งเตือนช่องโหว่ความปลอดภัยระดับความรุนแรงสูงใน Cisco Secure Firewall ASA และ FTD (CVE-2026-76418)