Plex Media Server: CVE-2026-96656 ya explotada

Plex Media Server: CVE-2026-96656 ya explotada

Qué es y a quién afectaEl CVE-2026-96656 es una vulnerabilidad de control externo del nombre o la ruta de archivo (CWE-73) en Plex Media Server, el se...

Qué es y a quién afecta

El CVE-2026-96656 es una vulnerabilidad de control externo del nombre o la ruta de archivo (CWE-73) en Plex Media Server, el servidor multimedia que muchas empresas y particulares instalan para centralizar vídeo, música y fotos. Según la NVD del NIST, el fallo permite que un usuario con rol de administrador escriba archivos arbitrarios que después pueden ejecutarse al cargarse. La descripción técnica apunta a dos detalles concretos: la preferencia TranscoderH264Options se añade tal cual a la cadena de opciones de x264 en cada transcodificación, y al arrancar se ejecutan todos los archivos .so sin comprobar firma, bit de ejecución ni símbolos.

Torre de servidor multimedia con una compuerta lateral abierta y cables que se escapan hacia un portátil, metáfora de una ruta de archivos mal controlada

El alcance afecta a las versiones de Plex Media Server anteriores a la 1.43.0.10861, según los productos y versiones que recoge la NVD. La gravedad asignada es de CVSS 4.0 8.6 (HIGH), es decir, una vulnerabilidad grave. El vector indica que se explota por red, con baja complejidad y requiere privilegios altos, lo que encaja con un escenario en el que un administrador comprometido o mal configurado abre la puerta a la ejecución de código. Además, el propio aviso señala que puede encadenarse con CVE-2026-96652, CVE-2026-96654 y CVE-2026-96655, de modo que no conviene tratarla como un problema aislado.

En el día a día de una pyme esto importa más de lo que parece: Plex suele instalarse en un equipo de oficina, en un NAS o en un servidor compartido con otras tareas, a menudo expuesto a internet para poder ver contenido fuera de casa o de la empresa. Si ese mismo equipo aloja backups, carpetas compartidas o accesos internos, el impacto se multiplica.

Por qué es urgente: ya se explota en ataques reales

No estamos ante una vulnerabilidad teórica. CISA añadió el CVE-2026-96656 a su catálogo KEV (Known Exploited Vulnerabilities) el 20 de octubre de 2026, lo que significa que consta su explotación en ataques reales. A las agencias federales de Estados Unidos les dio un plazo de corrección hasta el 23 de octubre de 2026, apenas tres días, una señal clara de la prioridad que le otorgan.

La acción exigida por CISA pasa por aplicar las mitigaciones siguiendo las instrucciones del fabricante y conforme a su directriz BOD 26-04, que prioriza las actualizaciones de seguridad según el riesgo. En caso de que no haya mitigación disponible, la alternativa indicada es dejar de usar el producto. También pide evaluar la exposición a internet de cada activo. Aunque ese plazo obliga formalmente a organismos públicos estadounidenses, para cualquier empresa española es una referencia útil: si un tercero ha fijado tres días para corregirlo, revisarlo esta misma semana es lo razonable.

El material no indica que esta vulnerabilidad se haya usado en campañas de ransomware, así que no debe presentarse como tal. Lo que sí consta es la explotación activa y la posibilidad de encadenarla con otras tres vulnerabilidades del mismo producto, algo que agrava el riesgo en instalaciones descuidadas.

Qué hacer hoy

  • Comprobar si se usa Plex Media Server y en qué versión. Revisad inventario, equipos personales conectados a la red corporativa y servidores departamentales. Es habitual encontrar instalaciones que nadie recuerda haber puesto.
  • Actualizar según el aviso del fabricante. La NVD sitúa el problema en versiones anteriores a 1.43.0.10861. Aplicad la actualización o la mitigación que indique el aviso oficial de Plex; no inventéis pasos ni supongáis que una versión concreta lo resuelve si no está publicada como tal.
  • Revisar indicios de intrusión. Buscad archivos desconocidos en las rutas de la aplicación, especialmente bibliotecas .so que no deberían estar ahí, cambios en la configuración del transcodificador y actividad anómala en los registros del equipo.
  • Reducir lo expuesto a internet. Si Plex no necesita ser accesible desde fuera de la red corporativa, cerrad el acceso. Si lo necesita, limitadlo a las direcciones y usuarios imprescindibles y mantened el equipo en una red separada del resto de sistemas críticos.
  • Revisar las otras tres vulnerabilidades encadenables (CVE-2026-96652, CVE-2026-96654 y CVE-2026-96655) dentro del mismo plan de corrección.

Conviene además revisar quién tiene rol de administrador en la instancia. El fallo requiere privilegios altos, así que una gestión de cuentas descuidada, con contraseñas compartidas o usuarios genéricos, amplía la superficie de ataque.

Cómo puede ayudar un equipo de ciberseguridad como el de ALMC

En ALMC trabajamos con pymes, comercios online y empresas de Lleida, Barcelona, Tarragona y Girona que tienen webs en WordPress, PrestaShop o Joomla, servidores propios o un equipo de IT pequeño. En casos como este, el primer paso es saber qué hay instalado y qué está expuesto: una auditoría de seguridad y un pentesting permiten detectar servicios olvidados, versiones desactualizadas y configuraciones peligrosas antes de que alguien las aproveche.

A partir de ahí, el trabajo habitual incluye el hardening de servidores, la monitorización y la respuesta a incidentes, el mantenimiento y actualización de las plataformas y la reparación de webs hackeadas. Si sospecháis que un equipo con Plex ha podido quedar comprometido, o simplemente queréis cerrar la puerta antes de que ocurra, un equipo externo puede revisar la exposición, aplicar las actualizaciones indicadas por el fabricante y dejar constancia de lo corregido de cara a vuestras obligaciones de seguridad y protección de datos bajo el RGPD y la LOPDGDD.

Relacionado

¿Está tu empresa expuesta a fallos como este?

En ALMC revisamos qué versiones tienes publicadas, aplicamos los parches y endurecemos tus servidores y tu web. Descubre nuestros servicios de ciberseguridad o contáctanos para una revisión.