Plex Media Server: vulnerabilidad CVE-2026-96654 ya explotada

Plex Media Server: vulnerabilidad CVE-2026-96654 ya explotada

Qué es y a quién afectaEl catálogo de vulnerabilidades del NIST (NVD) recoge la CVE-2026-96654, un fallo de neutralización incorrecta de esquemas URI...

Qué es y a quién afecta

El catálogo de vulnerabilidades del NIST (NVD) recoge la CVE-2026-96654, un fallo de neutralización incorrecta de esquemas URI codificados en una página web dentro de Plex Media Server, clasificado como CWE-84. En la práctica, el servidor no sanea bien los valores de URL que llegan a través de searchOne, lo que permite a un atacante invocar funciones de otros plugins y pasarles sus propios parámetros. La gravedad asignada es CVSS 4.0 de 6.9 (MEDIUM), con publicación en NVD el 23 de septiembre de 2026.

Servidor multimedia doméstico con una rendija abierta por la que se escapa un cable hacia el exterior

Quedan expuestas las instalaciones de Plex Media Server anteriores a la versión 1.43.3.10861. Ese rango incluye desde servidores domésticos hasta instalaciones corporativas que alguien montó para compartir vídeo interno, formación o archivos de marketing y que hoy siguen encendidas en la red de la oficina. En pymes y comercios online de Lleida, Barcelona o Tarragona es habitual encontrar este tipo de servicios autohospedados en un NAS o en un servidor propio, muchas veces sin que el equipo de IT recuerde que están ahí.

Conviene subrayar un detalle técnico relevante: según CISA, esta vulnerabilidad puede encadenarse con CVE-2026-96652, CVE-2026-96655 y CVE-2026-96656. Es decir, no hablamos de un fallo aislado, sino de una pieza dentro de una cadena de explotación más amplia.

Por qué es urgente: ya se explota en ataques reales

El 20 de octubre de 2026, CISA añadió CVE-2026-96654 a su catálogo KEV de vulnerabilidades explotadas en ataques reales. Eso significa que hay actividad maliciosa confirmada contra este fallo y que no estamos ante un riesgo teórico. A las agencias federales de EE. UU. se les ha dado de plazo hasta el 23 de octubre de 2026 para aplicar las mitigaciones.

La instrucción de CISA pasa por aplicar las mitigaciones siguiendo las instrucciones del fabricante, conforme a su directriz BOD 26-04 sobre priorización de actualizaciones de seguridad, y por valorar la exposición a internet de cada activo. Si no hay mitigación disponible para un servicio en la nube, la alternativa indicada es dejar de usar el producto. En el material consultado no consta uso en campañas de ransomware, pero eso no rebaja la urgencia: un fallo explotado y encadenable con otros tres merece atención inmediata.

Qué hacer hoy

  • Localiza todas las instalaciones. Revisa servidores propios, NAS, máquinas virtuales y equipos de oficina donde alguien haya instalado Plex Media Server. Pregunta al equipo y comprueba el inventario, porque estos servicios suelen escapar del registro oficial.
  • Comprueba la versión. Si es anterior a 1.43.3.10861, está afectada. Actualiza aplicando lo que indique el aviso del fabricante; el material no detalla una versión corregida concreta más allá de ese umbral, así que guíate por las notas de la versión publicadas por Plex.
  • Revisa indicios de intrusión. Busca llamadas anómalas a plugins, parámetros inesperados en peticiones a searchOne, cuentas o procesos que no reconoces y tráfico saliente raro desde el servidor. Si sospechas compromiso, aísla el equipo antes de seguir investigando.
  • Reduce lo expuesto a internet. Un servidor multimedia no debería estar accesible desde fuera salvo necesidad justificada. Cierra puertos, limita el acceso por VPN y segmenta ese servicio respecto a los sistemas con datos de clientes o facturación.
  • Revisa el resto de la cadena. Dado que puede encadenarse con CVE-2026-96652, CVE-2026-96655 y CVE-2026-96656, conviene comprobar también el estado de esos fallos en el mismo entorno.

Cómo puede ayudar un equipo de ciberseguridad como el de ALMC

En ALMC trabajamos con pymes, comercios online y empresas de Cataluña que tienen webs en WordPress, PrestaShop o Joomla, servidores propios y un equipo de IT pequeño, a menudo desbordado. En ese contexto, un servicio autohospedado como Plex Media Server es exactamente el tipo de activo que se queda fuera del radar hasta que aparece en un catálogo KEV.

Nuestro enfoque de ciberseguridad para empresas encaja aquí de forma natural: auditorías de seguridad y pentesting para saber qué hay realmente expuesto, hardening de servidores para cerrar lo que no necesita estar abierto, monitorización y respuesta a incidentes para detectar comportamiento anómalo a tiempo, mantenimiento y actualización de gestores de contenido y reparación de webs hackeadas si el daño ya se ha producido. La idea es sencilla: detectar y cerrar vulnerabilidades antes de que alguien las explote, en lugar de apagar fuegos después.

Si tu empresa tiene servidores propios o un equipo de IT reducido, merece la pena revisar el inventario real de servicios en marcha y priorizar por exposición. Un fallo de gravedad media puede convertirse en un problema serio cuando forma parte de una cadena de explotación activa.

Relacionado

¿Está tu empresa expuesta a fallos como este?

En ALMC revisamos qué versiones tienes publicadas, aplicamos los parches y endurecemos tus servidores y tu web. Descubre nuestros servicios de ciberseguridad o contáctanos para una revisión.