Cosa è successo

Il 21 ottobre 2026 la CISA ha aggiunto al catalogo delle vulnerabilità sfruttate (KEV) sei falle, tra cui quattro che interessano Plex Media Server e che, concatenate, formano la catena di attacco chiamata Plex2Shell. Le altre due riguardano Siemens Software Center e SiteGuard Server Edition. Il caso Plex è il più istruttivo, perché mostra come quattro bug di gravità singola moderata producano un rischio critico.

Le quattro vulnerabilità, secondo The Hacker News:

  • CVE-2026-96652 (CVSS 5,3): SSRF nell'endpoint /player/timeline, raggiungibile senza autenticazione.
  • CVE-2026-96654 (CVSS 6,9): neutralizzazione impropria dello schema URI codificato, che permette di richiamare funzioni di altri plugin con parametri scelti dall'attaccante.
  • CVE-2026-96655 (CVSS 5,3): SSRF autenticata nell'endpoint del transcoder.
  • CVE-2026-96656 (CVSS 8,6): controllo esterno del nome o percorso di un file, che consente di scrivere un file in una posizione scelta e far caricare al server una libreria o un codec non firmato.

Il ricercatore Zach Main, che ha segnalato i difetti a Plex il 27 luglio, valuta la catena completa 9,8. Il percorso è: le SSRF consentono di raggiungere le API interne e di ottenere richieste con l'autorità del proprietario, la scrittura di file piazza il codice malevolo e il caricamento del codec lo esegue, il tutto senza credenziali. Le versioni precedenti alla 1.43.3.10861 (rilasciata ai primi di agosto) sono vulnerabili; i dettagli tecnici sono stati pubblicati il 16 ottobre, il proof-of-concept è seguito pochi giorni dopo.

Lo sfruttamento è confermato: un ricercatore (Boredhackerblog) ha registrato attacchi riusciti il 17 ottobre contro un honeypot Linux in Docker, con installazione di un miner XMRig e di un software proxy (myawesomeproxy) che rivende il traffico del dispositivo. Non sono noti né il numero di server realmente compromessi né l'autore; le fonti consultate non concordano su una stima di server esposti, quindi non la riportiamo. La CISA ha fissato al 23 ottobre la scadenza per le agenzie federali USA per tre delle quattro CVE Plex, per SiteGuard (CVE-2026-106931, CVSS 8,5) e per le restanti al 3 novembre.

Le altre due voci KEV: CVE-2026-110936 (CVSS 8,4), un caricamento DLL non sicuro in Siemens Software Center, abusato in campagne ClickFix legate alla piattaforma Romulus; e CVE-2026-106931 su SiteGuard Server Edition, con exploitation confermata dal vendor ma senza dettagli pubblici.

Cosa significa per le aziende italiane

Un media server sembra un tema domestico, e in parte lo è: in Italia Plex gira soprattutto su NAS (Synology, QNAP) e su container Docker, spesso esposto a Internet con l'inoltro di porta per vedere i contenuti fuori casa. Ma proprio qui sta il rischio per le imprese, per tre ragioni.

Shadow IT. Studi professionali, piccole aziende e uffici condividono spesso lo stesso NAS fra dati di lavoro e uso personale. Un Plex dimenticato su quel NAS diventa un punto d'ingresso verso cartelle di clienti, backup e credenziali. Il miner è il segnale meno grave: la stessa esecuzione di codice può servire a movimenti laterali o all'installazione di un ransomware.

Aggiornamenti manuali. L'analisi di Cyber Security News ricorda che sui NAS gli aggiornamenti di Plex possono richiedere un intervento manuale. Una correzione uscita ad agosto è tuttora mancante su molti sistemi due mesi dopo: il ritardo fisiologico di aggiornamento è proprio quello che gli attaccanti sfruttano, appena un PoC diventa pubblico.

Valutazione del rischio per catene di bug. Con CVSS 5,3 e 6,9, tre su quattro di queste falle non superano le soglie con cui molti team assegnano priorità di patch. È un esempio concreto del limite di una gestione basata solo sul punteggio: conta l'esposizione (servizio raggiungibile da Internet), la presenza di un exploit pubblico e la possibilità di concatenare. Per i soggetti NIS2 la gestione delle vulnerabilità deve essere basata sul rischio, non sul solo CVSS, ed è un tema da riportare nell'inventario degli asset.

Sul fronte Siemens, chi gestisce ambienti industriali o di automazione (molto diffusi nel manifatturiero italiano) dovrebbe controllare Software Center sulle postazioni di ingegneria, perché ClickFix funziona convincendo l'utente a eseguire un comando. SiteGuard è un WAF diffuso soprattutto in Giappone: l'impatto in Italia è presumibilmente limitato, ma va verificato se è presente come componente di prodotti di terze parti.

Se sul NAS compromesso c'erano dati personali di clienti, l'accesso non autorizzato è una potenziale violazione di dati personali: valutare la notifica al Garante entro 72 ore dalla scoperta, anche in assenza di prove di esfiltrazione, ricordando che la valutazione del rischio va documentata.

Cosa fare subito

  • Verificare la versione di Plex Media Server su tutti i dispositivi, inclusi NAS e container: deve essere almeno la 1.43.3.10861. Controllare la versione in esecuzione, non solo il pacchetto installato.
  • Togliere Plex dall'esposizione diretta a Internet (inoltro di porta sul router). Se serve l'accesso remoto, usare una VPN o un reverse proxy con autenticazione.
  • Separare il NAS: nessun servizio multimediale sullo stesso volume o sulla stessa rete dei dati aziendali.
  • Cercare segni di compromissione: processi figli anomali di Plex (ps axjf su Linux), file chiamati docker o x scaricati in directory temporanee, consumo anomalo di CPU, programmi proxy sconosciuti. Gli indicatori pubblicati includono richieste al percorso /player/timeline/subscribe con user agent Python-urllib/3.10 e connessioni dagli IP 45.194.92[.]222, 91.92.40[.]202, 176.65.139[.]228, 217.60.194[.]116 e verso il dominio proxystream[.]st. Gli stessi autori avvertono che gli attaccanti possono cambiare porte, domini e nomi dei file.
  • Aggiornare Siemens Software Center e controllare le postazioni di ingegneria; formare gli utenti a diffidare di istruzioni a copiare e incollare comandi da pagine web (ClickFix).
  • Aggiungere il caso all'inventario degli asset: ogni servizio raggiungibile da Internet, anche "non aziendale", va censito, assegnato a un responsabile e aggiornato.
  • Se si trova una compromissione: isolare il dispositivo, ruotare le credenziali presenti sul NAS e valutare gli obblighi di notifica.