自架 Plex 影音伺服器要注意：四個漏洞串起來，不用帳密就能遠端執行程式，已遭大範圍利用，1.43.3.10861 起已修

趨勢新聞2026 年 10 月 28 日

Plex Media Server 是一套自己架的影音庫軟體：把家裡的電影、影集、音樂、照片放在 NAS（網路儲存設備，例如 Synology、QNAP）、電腦或雲端主機上，裝了它，就能用手機、電視在家或出門串流觀看。Plex 在論壇公告說，舊版有四個漏洞可以串起來，讓網路上沒有帳號密碼的攻擊者在你的伺服器上執行程式，這些漏洞「正遭積極且廣泛利用」（本站譯），被入侵的伺服器被拿去挖加密貨幣，或架代理軟體替別人轉送網路流量。美國網路安全暨基礎設施安全局（CISA）10 月 20 日（美國時間）把這四個漏洞列入已知遭利用漏洞目錄（KEV，CISA 確認已有人實際拿來攻擊的漏洞清單）。該做的事：把 Plex Media Server 更新到 1.43.3.10861 或更新版本；版本較舊又對外開放的，Plex 要用戶假設可能已遭入侵，照下面的清單檢查。

我會不會受影響？

• 只在電視、手機上裝 Plex App 看片，自己沒架伺服器：本站的讀法，就這四個漏洞而言，四筆 CVE（漏洞的國際編號）紀錄列的受影響產品都是伺服器軟體 Plex Media Server，播放用的 App 不在其中。
• NAS、電腦或雲端主機上裝了 Plex Media Server，完整版號低於 1.43.3.10861：屬於受影響版本，要更新；這不代表已遭入侵。7 月 14 日發布的 1.43.3.10828 開頭也是 1.43.3，仍是舊版，要看完整版號。版號在 Plex Web 的「設定 → 一般」。
• 版本低於 1.43.3.10861，而且外網連得到（例如開了遠端存取，或在路由器把 32400 埠轉出去）：Plex 說公開的概念驗證程式（示範怎麼攻擊的程式碼）10 月 16 日釋出後，這類沒更新、對外開放的伺服器遭大範圍攻擊，要假設可能已遭入侵。
• 公司 NAS 上同時放了公司檔案和 Plex：同一台機器不等於檔案已外洩；但發現入侵跡象或無法排除入侵時，Plex 要用戶把 Plex 服務帳號讀得到的東西都當成可能外洩，例如掛載的共用資料夾、同一台機器或虛擬機上存的帳密。

Plex 要用戶怎麼做

先更新到 1.43.3.10861 或更新版本，再到「設定 → 一般」確認版號。NAS 的套件中心可能還沒上新版，可到 Plex 下載頁取得適用套件，依 NAS 廠商的程序手動安裝。接著檢查入侵跡象：Plex 啟動了不認得的程序，例如 myawesomeproxy、mylovelyminer、x12345；Codecs 資料夾裡有陌生的 .so 或 .dll 檔；有連往 proxystream.st 的連線，或沒在播放時 CPU 持續偏高。

發現上述跡象或無法排除入侵時，從乾淨安裝重建，不沿用舊的 Plex 資料目錄；至少清空 Codecs 資料夾，檢查 Preferences.xml 有沒有自己沒設的轉碼選項。再從 Plex 帳號設定登出所有裝置、改密碼，並把 Plex 服務帳號讀得到的資料當成可能外洩來處理。用不到遠端存取就在「設定 → 遠端存取」關掉，非必要不要把 32400 埠直接轉發出去。本站的讀法：更新只是補上漏洞，已經被放進去的程式不會因此消失，所以檢查不能省。

四個漏洞各是什麼

依 CVE 紀錄：96652 是 /player/timeline 的伺服器端請求偽造（SSRF，騙伺服器替攻擊者去連指定的網址），帶任意 X-Plex-Token 值就能讓伺服器向攻擊者指定的網址發 POST，Plex 論壇寫成「未經認證」；96654 是 searchOne 沒有正確處理網址，可呼叫其他外掛的函式，Plex 寫成透過本機迴路介面存取內部 agent 函式；96655 是已登入使用者可經轉碼路徑要伺服器連任意內外部位址，Plex 寫成「洩漏伺服器擁有者的管理權杖」（本站譯；權杖是伺服器用來確認身分與授權的通行碼）；96656 是管理者可寫入任意檔案，轉碼設定 TranscoderH264Options 會原樣接進 x264 編碼器參數，研究者 Zach Main 指出，轉碼器啟動時會載入 Codecs 對應子目錄中的 .so 檔（Linux 等系統使用的共享程式庫），且不檢查簽章。單獨看，CVSS 3.1（0 到 10 分的漏洞嚴重度評分）在 4.3 到 7.2 之間；Plex 說串起來，未經認證的遠端攻擊者能以 Plex 服務程序的權限執行程式碼。CISA 9 月 23 日另一份公告 VA-26-266-01 還列了第五個 CVE-2026-96651（路徑穿越），也從同一版起修正，本站用的 2026.10.26 版 KEV 沒有它。

時間線（論壇與 CVE 紀錄日期依世界協調時間 UTC；概念驗證程式日期依 Plex 公告）：1.43.3.10861 於 8 月 3 日開放 Plex Pass 用戶測試、8 月 4 日全面發布；Plex 9 月 1 日發安全公告要用戶更新，CVE 9 月 23 日發布，10 月 16 日概念驗證程式公開，10 月 19 日 Plex 在同一串補上 CVE 與利用情形，10 月 20 日列入 KEV。

美國聯邦機關的期限為什麼分兩個

KEV 期限依 CISA 的約束性作業指令（BOD，對機關有強制力的資安命令）BOD 26-04 訂定，只約束美國聯邦文職行政部門機關。同一條攻擊鏈，96654 與 96656 是 10 月 23 日（3 天），96652 與 96655 是 11 月 3 日（14 天），只有 96656 標了鑑識初判。時程表看四件事：資產是否對外開放、是否在 KEV、攻擊步驟能否自動化、得手後是部分還是完全控制（本站 10 月 18 日整理過這張表）；後兩項是 CISA 寫進 CVE 紀錄的評估。本站 10 月 28 日讀到的值，四筆都已列為有實際利用：96656 不可自動化、完全控制，對到第 3 列「3 天加鑑識初判」；96654 可自動化、部分控制，對到第 2 列「3 天」；另兩筆不可自動化、部分控制，對到第 4 列「14 天」；資產不對外開放（第 10 到 12 列）則四筆都是 14 天。天數是日曆日，起算點是列入 KEV，或機關依 BOD 23-01 在資產上辨識出漏洞並更新 CDM 儀表板，取較早者。上述是 KEV 條目所列的期限，各機關仍要依每項資產的實際暴露情況與起算事件認定適用期限。

96654 的評估在列入當天改過。CVE 紀錄在 GitHub 的歷史版本顯示，CISA 9 月 23 日的評估是「不可自動化」；10 月 20 日，CVE 紀錄中 ADP 區塊的評估時間欄記為 16:07 UTC（台灣時間 21 日 00:07）的版本改成「可自動化」，19:46 UTC（台灣時間 21 日 03:46）的版本再把利用狀態改為「有實際利用」。本站的讀法：其他條件不變、只把可自動化維持為「否」，查表會落在第 4 列的 14 天，96654 的 3 天來自這次改判。改判理由，歷史版本沒有附上。對用戶來說，四個漏洞修在同一版，更新一次就同時修正。