Plex Media Server: fallo SSRF CVE-2026-96652 ya explotado

Plex Media Server: fallo SSRF CVE-2026-96652 ya explotado

Qué es y a quién afectaEl fallo identificado como CVE-2026-96652 afecta a Plex Media Server, el popular servidor multimedia que muchas empresas y part...

Qué es y a quién afecta

El fallo identificado como CVE-2026-96652 afecta a Plex Media Server, el popular servidor multimedia que muchas empresas y particulares instalan en un equipo propio para organizar y compartir vídeo, música y fotos. Según la NVD del NIST, el problema está presente en todas las versiones anteriores a 1.43.3.10861.

Metáfora visual de un servidor multimedia doméstico que reenvía peticiones hacia un destino externo no previsto

Se trata de una vulnerabilidad de tipo server-side request forgery (SSRF), clasificada como CWE-918. El funcionamiento descrito por la NVD es el siguiente: a través de la ruta /player/timeline, un atacante que utilice cualquier valor de X-Plex-Token puede introducir una URL completa en el parámetro protocol y forzar al servidor Plex a enviar una petición POST al destino que él elija. En otras palabras, el servidor deja de hablar solo con quien debería y se convierte en un mensajero hacia donde le indiquen.

La gravedad asignada es CVSS 4.0 de 5.3 (MEDIUM), publicada en la NVD el 23 de septiembre de 2026. Aunque la puntuación no sea la más alta, conviene no bajar la guardia: CISA señala que este fallo puede encadenarse con CVE-2026-96654, CVE-2026-96655 y CVE-2026-96656, de modo que su impacto real puede crecer cuando se combina con otros defectos.

¿A quién le toca revisarlo? A cualquier pyme, comercio online o equipo de IT pequeño que tenga un Plex Media Server expuesto, ya sea en un servidor propio, en un NAS o en una máquina de la oficina. Es habitual encontrarlo en entornos donde alguien lo instaló para uso interno y quedó accesible desde internet sin que nadie lo documentara.

Por qué es urgente

La diferencia entre una vulnerabilidad teórica y un riesgo real está en si alguien la está aprovechando. En este caso, la respuesta es clara: CISA añadió CVE-2026-96652 a su catálogo KEV el 20 de octubre de 2026, lo que significa que ya se ha observado explotación en ataques reales. No hablamos de una posibilidad de laboratorio, sino de un fallo que se está usando.

Por ese motivo, CISA ha fijado a las agencias federales de EE. UU. un plazo de corrección que vence el 3 de noviembre de 2026. La acción exigida pasa por aplicar las mitigaciones siguiendo las instrucciones del fabricante y cumplir con la guía BOD 26-04 sobre priorización de actualizaciones según el riesgo, además de los requisitos de triaje forense. En caso de que no existan mitigaciones disponibles, la recomendación es dejar de usar el producto. Cada organización debe evaluar además qué activos están expuestos a internet.

El material consultado no indica que este fallo se haya vinculado a campañas de ransomware, pero eso no lo hace inofensivo: un SSRF bien encadenado puede servir como puerta de entrada para movimientos posteriores dentro de la red.

Qué hacer hoy

Si en tu empresa hay un Plex Media Server, estos pasos deberían estar ya en marcha:

  • Comprobar si se usa y en qué versión. Localiza todas las instancias, incluidas las que alguien instaló por su cuenta en un equipo secundario. Si la versión es inferior a 1.43.3.10861, está afectada.
  • Aplicar la actualización o mitigación. Sigue lo que indique el aviso del fabricante para la versión corregida y las medidas provisionales. No improvises parches ni configuraciones que no estén documentadas por Plex.
  • Revisar indicios de intrusión. Busca peticiones POST salientes hacia destinos que no reconozcas, tráfico hacia el parámetro protocol con URLs externas y accesos con tokens que no cuadren. El fallo permite usar cualquier valor de X-Plex-Token, así que un token filtrado o débil no te protege.
  • Reducir lo expuesto a internet. Si el servidor no necesita ser accesible desde fuera, ciérralo. Si lo necesita, limita el acceso por IP o mediante VPN y segmenta ese equipo del resto de la red corporativa.

En paralelo, conviene revisar si hay otros servicios con la misma costumbre de quedar expuestos sin control, porque el problema de fondo suele repetirse.

Cómo puede ayudar un equipo de ciberseguridad como el de ALMC

En ALMC trabajamos con pymes, comercios online y empresas de Cataluña que tienen webs en WordPress, PrestaShop o Joomla, servidores propios y un equipo de IT con recursos limitados. En un caso como este, nuestro papel es detectar y cerrar vulnerabilidades antes de que las exploten: auditorías de seguridad y pentesting para saber qué hay realmente expuesto, hardening de servidores para reducir la superficie de ataque, monitorización y respuesta a incidentes cuando aparecen señales sospechosas, mantenimiento y actualización de las plataformas y reparación de webs hackeadas.

Si tu equipo no tiene claro qué servicios escuchan desde internet o qué versiones corren en cada máquina, ese inventario es el primer paso. A partir de ahí se prioriza, se aplican los parches con criterio y se deja constancia de lo hecho, algo que también ayuda a cumplir con el RGPD y la LOPDGDD cuando se trata información de clientes.

Relacionado

¿Está tu empresa expuesta a fallos como este?

En ALMC revisamos qué versiones tienes publicadas, aplicamos los parches y endurecemos tus servidores y tu web. Descubre nuestros servicios de ciberseguridad o contáctanos para una revisión.