ศูนย์รักษาความมั่นคงปลอดภัยไซเบอร์ มหาวิทยาลัยพะเยา
กลับสู่ศูนย์แจ้งเตือนภัยคุกคาม (All Advisories)
MEDIUMCVSS 4.3TLP:CLEAR
UPCYBER-ADV-2026-077
21 ตุลาคม 256923 ครั้ง

แจ้งเตือนช่องโหว่ Server-Side Request Forgery (SSRF) ใน Plex Media Server (CVE-2026-96652)

CISA KEV: Plex Media Server Server-Side Request Forgery (SSRF) Vulnerability in Plex Media Server (CVE-2026-96652)

4.3
CVSS v3.x Score
MEDIUM SEVERITY
ประเภทภัยคุกคาม
ช่องโหว่ความปลอดภัย (Vulnerability)
แหล่งที่มาข้อมูล
CISA KEV
CVE-2026-96652CWE-918Vector: CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:L/I:N/A:N
บทสรุปภาพรวม (Executive Summary)

ศูนย์รักษาความมั่นคงปลอดภัยไซเบอร์ มหาวิทยาลัยพะเยา ขอแจ้งเตือนช่องโหว่ความปลอดภัยรหัส CVE-2026-96652 ในระบบ Plex Media Server ซึ่งเป็นช่องประเภท Server-Side Request Forgery (SSRF) ผ่านพารามิเตอร์ 'protocol' ในเอนด์ปอยต์ '/player/timeline' ผู้โจมตีที่ผ่านการตรวจสอบสิทธิ์หรือใช้ค่า X-Plex-Token สามารถบังคับให้เซิร์ฟเวอร์ส่งคำขอ HTTP POST ไปยังปลายทางที่ต้องการได้ ช่องโหว่นี้ยังสามารถนำไปโจมตีร่วมกับช่องโหว่อื่นเพื่อเพิ่มความรุนแรงได้อีกด้วย

ตารางวิเคราะห์ระบบที่ได้รับผลกระทบและการแก้ไข (Matrix)
ผลิตภัณฑ์และเวอร์ชันที่พบช่องโหว่ (Affected)
Plex Media Server
เวอร์ชันที่ได้รับการแก้ไขแล้ว (Fixed / Patched)
อัปเดต Plex Media Server เป็นเวอร์ชัน 1.43.3.10861 หรือเวอร์ชันล่าสุดที่ได้รับการแก้ไขจากผู้พัฒนา
รายละเอียดช่องโหว่และรูปแบบการโจมตี

รายละเอียดทางเทคนิคของช่องโหว่ (Technical Details)

ช่องโหว่ความปลอดภัย CVE-2026-96652 จัดเป็นช่องประเภท Server-Side Request Forgery (SSRF) (CWE-918) มีคะแนนความรุนแรงตามมาตรฐาน CVSS v3.1 อยู่ที่ 4.3 (Medium) โดยมีรายละเอียดกลไกการโจมตีดังนี้:

  • ส่วนประกอบที่ได้รับผลกระทบ: Plex Media Server ก่อนเวอร์ชัน 1.43.3.10861 ผ่านเอนด์ปอยต์ /player/timeline
  • กลไกการโจมตี (Exploitation Mechanism): ช่องโหว่เกิดจากการที่ระบบขาดการตรวจสอบความถูกต้อง (Input Validation) ของพารามิเตอร์ protocol ทำให้อำนาจการควบคุม URL ปลายทางตกอยู่กับผู้โจมตี ผู้โจมตีสามารถใช้ค่า X-Plex-Token ใดก็ได้ระบุ URL เต็มรูปแบบเข้าไปในพารามิเตอร์ดังกล่าว และบังคับให้ Plex Server ทำการส่งคำขอแบบ HTTP POST ออกไปยังเซิร์ฟเวอร์ภายนอกหรือทรัพยากรภายในเครือข่ายที่ปกติไม่ควรเข้าถึงได้
  • ความเสี่ยงและผลกระทบ (Impact): นอกจากการเปิดเผยข้อมูลภายในระดับจำกัด (Low Confidentiality) แล้ว ช่องโหว่นี้ยังมีความอันตรายสูงเนื่องจากรายงานจาก CISA KEV ระบุว่าสามารถถูกนำไปใช้งานร่วมกัน (Chained) กับช่องโหว่อื่นๆ ได้แก่ CVE-2026-96654, CVE-2026-96655 และ CVE-2026-96656 เพื่อเพิ่มความสามารถในการโจมตีระบบเป้าหมายได้มากยิ่งขึ้น
ข้อเสนอแนะและมาตรการการปฏิบัติ (Recommendations & Workarounds)

แนวทางการปฏิบัติและการแก้ไข (Mitigation & Recommendations)

  • อัปเดตซอฟต์แวร์: ดำเนินการอัปเดต Plex Media Server ให้เป็นเวอร์ชันล่าสุดที่ได้รับการแก้ไขช่องโหวบความปลอดภัยแล้ว (เวอร์ชัน 1.43.3.10861 หรือสูงกว่า) ตามคำแนะนำของผู้พัฒนา
  • จำกัดการเข้าถึงเครือข่าย: ตรวจสอบและจำกัดการเข้าถึง Plex Media Server ไม่ให้เชื่อมต่อกับอินเทอร์เน็ตโดยตรง หรือควรใช้งานผ่าน Virtual Private Network (VPN) และการตั้งค่า Firewall เพื่อป้องกันการเข้าถึงจากภายนอกที่ไม่จำเป็น
  • การตรวจสอบและเฝ้าระวัง (Monitoring): ตรวจสอบ Log การเข้าใช้งานระบบเพื่อค้นหาพฤติกรรมผิดปกติที่เกี่ยวข้องกับการเรียกใช้งานเอนด์ปอยต์ /player/timeline หรือการเชื่อมต่อเครือข่ายออกไปยังปลายทางที่น่าสงสัย
  • ปฏิบัติตามมาตรฐานความปลอดภัย: ดำเนินการประเมินความเสี่ยงของสินทรัพย์ดิจิทัลที่เชื่อมต่ออินเทอร์เน็ตตามแนวทางปฏิบัติของ CISA BOD 26-04 เพื่อความปลอดภัยสูงสุดขององค์กร
// แหล่งข้อมูลอ้างอิง (References)
แชร์การแจ้งเตือนนี้:

การแจ้งเตือนภัยคุกคามที่เกี่ยวข้อง (Related Advisories)

HIGH 7.828 ต.ค. 2569

แจ้งเตือนช่องโหว่ความปลอดภัยระดับสูงใน Linux Kernel (CVE-2026-46300)

LOW 2.728 ต.ค. 2569

แจ้งเตือนช่องโหว่ความปลอดภัย Insufficient Logging ใน Broadcom VMware ESX (CVE-2026-41709)

CRITICAL 27 ต.ค. 2569

Oracle ออกแพตช์อัปเดตประจำเดือนตุลาคม 2026 (October 2026 CPU) แก้ไขช่องโหว่กว่า 1,200 รายการ

CRITICAL 9.327 ต.ค. 2569

แจ้งเตือนช่องโหว่ความปลอดภัยระดับวิกฤตใน Adobe Commerce and Magento (CVE-2026-48356)