Plex Media Server’da zincir halinde sömürülen dört açık acil güncelleme istiyor

Ev sinema sunucusu denince akla gelen ilk isimlerden Plex Media Server, dört ayrı güvenlik açığıyla gündemde. ABD Siber Güvenlik ve Altyapı Güvenliği Ajansı (CISA), 20 Ekim 2026’da CVE-2026-96652, CVE-2026-96654, CVE-2026-96655 ve CVE-2026-96656 numaralı açıkları Bilinen Sömürülen Açıklar (KEV) listesine ekledi. Plex de aynı gün yaptığı duyuruda açıkların “aktif ve yaygın” biçimde sömürüldüğünü, 16 Ekim’de yayınlanan bir kavram kanıtı çalışmasının ardından internetten erişilebilen sunuculara yoğun saldırılar başladığını doğruladı.

Etkilenen sürüm aralığı geniş: Plex Media Server 1.43.3.10861 öncesindeki tüm yapılar dört açığın tamamından etkileniyor. Düzeltme ağustos başında yayınlanmıştı, yani açıklar aylardır yamalı sürümde kapatılmış durumda. Sorun, güncellemeyi almamış kurulumların hâlâ sahada olması.

Dört açık nasıl tek bir saldırıya dönüşüyor

Zincirin ilk halkası CVE-2026-96652. Oyuncu zaman çizelgesi ucunda bulunan sunucu taraflı istek sahteciliği (SSRF) hatası, saldırganın geçerli bir jeton taşımayan herhangi bir X-Plex-Token değeriyle sunucuya istediği adrese POST isteği attırabilmesine yol açıyor. İkinci halka CVE-2026-96654, yerel döngü arayüzü üzerinden iç ajan fonksiyonlarına erişim sağlıyor. Üçüncü halka CVE-2026-96655, sunucu sahibinin yönetici jetonunun açığa çıkmasına neden oluyor. Son halka CVE-2026-96656 ise transcoder tercihleri üzerinden Codecs klasörüne rastgele dosya yazılmasına izin veriyor; Plex başladığında bu klasördeki kütüphaneleri yüklediği için yazılan dosya çalıştırılabilir hale geliyor.

Tek tek bakıldığında orta ve yüksek aralıkta duran bu dört hata birleştirildiğinde tablo değişiyor: kimlik doğrulaması olmayan bir saldırgan, Plex Media Server sürecinin yetkileriyle uzaktan kod çalıştırabiliyor. Plex’in açıklamasına göre ele geçirilen sunucular kripto madenciliği ve proxy yazılımı çalıştırmak için kullanıldı; yani kurbanın internet bağlantısı başkalarının trafiğine açıldı.

Kimler hemen güncellemeli

Windows ve macOS’ta otomatik güncelleme açıksa sürümün 1.43.3.10861 veya üzeri olduğunu Ayarlar menüsünden doğrulamak yeterli. Linux dağıtımları, NAS cihazları ve Docker kurulumları otomatik güncelleme almıyor; paket elle indirilip kurulmalı. Synology, QNAP, TerraMaster, WD ve Netgear kullanıcıları için Plex’in duyurusunda cihaz bazlı kurulum rehberleri var. NVIDIA Shield’da güncelleme Google Play üzerinden geliyor.

Sunucuda iz aranacaksa nelere bakılmalı

Plex, 1.43.3.10861’den eski ve internetten erişilebilen bir sunucunun ele geçirilmiş kabul edilmesini öneriyor. Kontrol listesi kısa: Plex Media Server’ın başlattığı tanımadığınız süreçler (özellikle myawesomeproxy, mylovelyminer veya x12345 gibi adlar), Codecs klasöründeki yabancı .so ve .dll dosyaları, proxystream.st adresine giden dış bağlantılar ve hiçbir şey oynatılmıyorken süren yüksek işlemci kullanımı.

Bu işaretlerden biri görülürse ya da ele geçirilme ihtimali elenemiyorsa eski Plex veri klasörünü taşımadan temiz kurulum yapılması gerekiyor. En azından Codecs klasörünün içi boşaltılmalı, Preferences.xml dosyasında kendi ayarlamadığınız transcoder seçenekleri kontrol edilmeli. Ardından Plex hesabındaki tüm cihaz oturumları kapatılmalı ve parola değiştirilmeli. Plex servis hesabının erişebildiği paylaşımlar ve aynı makinede duran kimlik bilgileri de açığa çıkmış sayılmalı.

Uzak erişim gereksizse kapatın

Dışarıdan izleme ihtiyacı olmayan kullanıcılar için en etkili adım, Ayarlar altındaki Uzak Erişim seçeneğini kapatmak ve 32400 numaralı bağlantı noktasını internete yönlendirmemek. CISA’nın verdiği süreler ise şöyle: CVE-2026-96656 ve CVE-2026-96654 için 23 Ekim 2026, CVE-2026-96655 ve CVE-2026-96652 için 3 Kasım 2026. Bu tarihler ABD federal kurumları için bağlayıcı; ev kullanıcıları açısından anlamı, yamanın ertelenmemesi gerektiği.

Kaynak: CISA KEV · Plex Güvenlik Duyurusu