แจ้งเตือนช่องโหว่ความปลอดภัย Server-Side Request Forgery (SSRF) ใน Plex Media Server (CVE-2026-96655)
CISA KEV: Plex Media Server Server-Side Request Forgery (SSRF) Vulnerability in Plex Media Server (CVE-2026-96655)
ศูนย์รักษาความมั่นคงปลอดภัยไซเบอร์ มหาวิทยาลัยพะเยา ขอแจ้งเตือนช่องโหว่ความปลอดภัยรหัส CVE-2026-96655 ในระบบ Plex Media Server ซึ่งเป็นช่องโหว่ประเภท Server-Side Request Forgery (SSRF) ที่ช่วยให้อุปรกรณ์หรือผู้โจมตีที่ผ่านการยืนยันตัวตนแล้ว สามารถส่งคำขอไปยังที่อยู่ภายในหรือภายนอกเครือข่ายโดยไม่ได้รับอนุญาตผ่านพารามิเตอร์เส้นทาง '/video/:/transcode/universal' หน่วยงานและผู้ดูแลระบบควรเร่งตรวจสอบและดำเนินการอัปเดตระบบเพื่อป้องกันความเสี่ยงจากการถูกโจมตีสมทบ
รายละเอียดทางเทคนิคของช่องโหว่ (Vulnerability Details)
พบการรายงานช่องโหว่ความปลอดภัย CVE-2026-96655 ซึ่งจัดอยู่ในประเภท Server-Side Request Forgery (SSRF) ตามมาตรฐาน CWE-918 โดยมีคะแนนความรุนแรงตามมาตรฐาน CVSS v3.1 อยู่ที่ 4.3 (Medium) ด้วยเวกเตอร์ CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:L/I:N/A:N
กลไกการโจมตีและผลกระทบ (Exploitation & Impact)
- ส่วนประกอบที่ได้รับผลกระทบ: ระบบ Plex Media Server เวอร์ชันก่อนหน้า 1.43.3.10861
- ช่องทางการโจมตี: ผ่านทางพารามิเตอร์เส้นทาง (path parameter) ที่
/video/:/transcode/universal - กลไกการทำงาน: ผู้โจมตีที่สามารถเข้าสู่ระบบได้แล้ว (Authenticated user) สามารถใช้ประโยชน์จากช่องโหว่นี้เพื่อบังคับให้เซิร์ฟเวอร์ส่งคำขอไปยังที่อยู่ (Addresses) ภายในโครงสร้างพื้นฐานเครือข่ายองค์กรหรือภายนอกเครือข่ายได้ตามต้องการ
- การโจมตีแบบต่อเนื่อง (Chained Vulnerabilities): ช่องโหว่นี้มีความเสี่ยงสูงเนื่องจากสามารถนำไปใช้โจมตีร่วมกัน (Chained) กับช่องโหว่อื่น ๆ ได้แก่ CVE-2026-96652, CVE-2026-96654 และ CVE-2026-96656 เพื่อเพิ่มความรุนแรงในการเข้าถึงระบบเป้าหมาย
แนวทางการปฏิบัติและมาตรการบรรเทาผลกระทบ (Mitigation Recommendations)
- ดำเนินการอัปเดตแพทช์: ปรับปรุงและอัปเดต Plex Media Server ให้เป็นเวอร์ชันล่าสุด 1.43.3.10861 หรือสูงกว่า ตามคำแนะนำของผู้พัฒนาอย่างเร่งด่วน
- จำกัดการเข้าถึงเครือข่าย (Network Access Control): ตรวจสอบและจำกัดการเข้าถึง Plex Media Server จากภายนอกอินเทอร์เน็ตเท่าที่จำเป็น และจำกัดสิทธิ์การใช้งานของผู้ใช้ภายในระบบ
- การเฝ้าระวังความปลอดภัย (Monitoring & Triage): ตรวจสอบ Log การเข้าใช้งานระบบและติดตามประกาศแนวทางการบริหารจัดการช่องโหว่ (เช่น CISA BOD 26-04) เพื่อประเมินความเสี่ยงและปฏิบัติตามข้อกำหนดด้านนิติเวชดิจิทัลเบื้องต้น
- การประเมินความเสี่ยง: หากยังไม่สามารถอัปเดตได้ทันที ให้พิจารณาระงับการใช้งานชั่วคราวสำหรับระบบที่มีการเชื่อมต่อเปิดสู่สาธารณะ (Internet-exposed assets)