สมมติว่าออฟฟิศของคุณมี NAS ไว้เก็บไฟล์งานร่วมกัน วันหนึ่งพนักงานไอทีลงโปรแกรม Plex Media Server เพิ่มเข้าไป เพื่อเปิดวิดีโออบรมหรือคลิปสินค้าผ่านทีวีในห้องประชุมได้สะดวก แล้วเปิดให้เข้าจากนอกออฟฟิศได้ด้วย โปรแกรมนี้ไม่เคยอยู่ในรายการซอฟต์แวร์ของบริษัท ไม่มีใครรับผิดชอบเรื่องอัปเดต
ถ้าโปรแกรมตัวนั้นถูกเจาะ ผู้โจมตีจะได้สิทธิ์ของบัญชีที่ Plex ใช้รันอยู่ ซึ่งบ่อยครั้งเข้าถึงโฟลเดอร์งานบน NAS เครื่องเดียวกันได้ เรื่องนี้กำลังเกิดขึ้นจริงในสัปดาห์นี้
เกิดอะไรขึ้น
วันที่ 20 ตุลาคม 2569 CISA หน่วยงานความมั่นคงไซเบอร์ของสหรัฐฯ เพิ่มช่องโหว่ 6 รายการเข้ารายการช่องโหว่ที่ถูกโจมตีจริง (Known Exploited Vulnerabilities หรือ KEV) สี่รายการเป็นของ Plex Media Server ได้แก่ CVE-2026-96652, CVE-2026-96654, CVE-2026-96655 และ CVE-2026-96656
ข้อมูลใน NVD ระบุว่าทั้งสี่รายการกระทบ Plex Media Server รุ่นก่อน 1.43.3.10861 แต่ละตัวทำคนละอย่าง
- สองรายการเป็นช่องโหว่แบบ SSRF ที่บังคับให้เครื่อง Plex ส่งคำขอไปยังปลายทางที่ผู้โจมตีเลือก
- หนึ่งรายการทำให้เรียกฟังก์ชันของปลั๊กอินอื่นพร้อมพารามิเตอร์ที่ผู้โจมตีกำหนดเองได้
- อีกหนึ่งรายการให้ผู้ใช้ระดับแอดมินเขียนไฟล์ที่เครื่องจะรันตอนเริ่มทำงานได้ คะแนน CVSS 3.1 อยู่ที่ 7.2
ถ้าดูทีละตัว คะแนนส่วนใหญ่อยู่ระดับกลาง แต่ Censys บริษัทที่สำรวจเครื่องที่เปิดออกอินเทอร์เน็ต อธิบายว่าเมื่อต่อกันเป็นชุดที่นักวิจัยตั้งชื่อว่า Plex2Shell ผู้โจมตีรันโค้ดบนเครื่องได้ด้วยสิทธิ์ของบัญชีที่รัน Plex
ลำดับเหตุการณ์ตามรายงานของ Censys
- 4 สิงหาคม 2569 Plex ออกรุ่น 1.43.3.10861 ที่แก้ช่องโหว่ทั้งชุด
- 1 กันยายน 2569 Plex ออกประกาศความปลอดภัย
- 16 ตุลาคม 2569 นักวิจัยเผยแพร่รายละเอียดและโค้ดโจมตี
- 17 ตุลาคม 2569 มีผู้พบการโจมตีจริงผ่าน honeypot หนึ่งวันหลังโค้ดเผยแพร่
- 19 ตุลาคม 2569 Plex แจ้งว่ามีการโจมตีจริงเป็นวงกว้าง เครื่องที่โดนถูกใช้ขุดคริปโตและเป็นพร็อกซี
- 20 ตุลาคม 2569 CISA เพิ่มเข้า KEV
ในแค็ตตาล็อก KEV CISA กำหนดให้หน่วยงานรัฐบาลกลางสหรัฐฯ แก้ CVE-2026-96654 และ CVE-2026-96656 ภายใน 23 ตุลาคม และอีกสองรายการภายใน 3 พฤศจิกายน 2569
ตัวเลขที่น่าคิด: แพตช์มีแล้ว แต่เครื่องยังไม่ขยับ
Censys พบเครื่องที่รัน Plex Media Server ราว 324,000 เครื่อง ราว 30% ยังเป็นรุ่นที่มีช่องโหว่ ข้อมูลอีกชุดที่ควรเล่าให้ทีมฟังคือ ในสามวันแรกหลังโค้ดโจมตีเผยแพร่และมีรายงานการโจมตีจริง เครื่องที่ยังค้างอยู่อัปเกรดไม่ถึง 2%
Censys ยังสรุปคำแนะนำจาก Plex ไว้ว่า Windows กับ macOS จะอัปเดตเองถ้าเปิดไว้ แต่ติดตั้งบน Linux, NAS หรือ Docker ต้องอัปเดตด้วยมือ ซึ่งตรงกับจุดที่หลายบริษัทลืม
อีกเรื่องที่สำคัญกว่าตัวเลข คืออัปเดตแล้วไม่ได้แปลว่าปลอดภัย Plex แนะนำว่าเครื่องที่รุ่นเก่ากว่า 1.43.3.10861 และเปิดออกอินเทอร์เน็ต ให้ถือว่าอาจถูกเจาะแล้ว ควรติดตั้งใหม่ให้สะอาด ล้างโฟลเดอร์ Codecs ตรวจไฟล์ตั้งค่า ออกจากระบบทุกอุปกรณ์และเปลี่ยนรหัสผ่าน Plex รวมถึงถือว่าทุกอย่างที่บัญชีของ Plex เข้าถึงได้ เช่น โฟลเดอร์ที่ mount ไว้หรือรหัสผ่านที่เก็บไว้ อาจหลุดไปแล้ว
