CVE-2026-96655 en Plex Media Server: SSRF ya explotada

CVE-2026-96655 en Plex Media Server: SSRF ya explotada

Qué es y a quién afectaPlex Media Server, el popular servidor multimedia que muchas empresas y particulares instalan para centralizar vídeo, música y...

Qué es y a quién afecta

Plex Media Server, el popular servidor multimedia que muchas empresas y particulares instalan para centralizar vídeo, música y fotos, arrastra una vulnerabilidad identificada como CVE-2026-96655. El fallo es una SSRF (Server-Side Request Forgery), clasificada como CWE-918: un usuario autenticado puede conseguir que el servidor realice peticiones a direcciones internas o externas arbitrarias a través del parámetro de ruta /video/:/transcode/universal.

Cable que sale de un servidor multimedia y se cuela por una puerta abierta hasta un archivador interno

Según la NVD del NIST, el problema afecta a las versiones de Plex Media Server anteriores a la 1.43.3.10861. La ficha de NVD recoge además el rango hasta 1.43.0.10861 (sin incluir), por lo que conviene contrastar la versión exacta instalada con el aviso oficial del fabricante antes de dar el sistema por seguro. La vulnerabilidad se publicó en NVD el 23 de septiembre de 2026 y tiene una gravedad CVSS 4.0 de 5.3 (MEDIUM).

¿Por qué un fallo de gravedad media merece atención? Porque una SSRF no suele ser el final del camino, sino la puerta de entrada. CISA advierte de que esta vulnerabilidad puede encadenarse con CVE-2026-96652, CVE-2026-96654 y CVE-2026-96656, lo que amplía el impacto real más allá de lo que sugiere la puntuación aislada. Afecta a cualquier organización que exponga un Plex Media Server, algo habitual en pymes con un equipo de IT pequeño que lo ha instalado como servicio auxiliar sin incluirlo en el inventario formal.

Por qué es urgente: ya se explota en ataques reales

El dato clave no es la puntuación, sino el estado. CISA añadió CVE-2026-96655 a su catálogo KEV (Known Exploited Vulnerabilities) el 20 de octubre de 2026, lo que significa que hay constancia de explotación activa en ataques reales. No estamos ante una vulnerabilidad teórica pendiente de prueba de concepto.

El plazo que CISA da a las agencias federales de EE. UU. para corregirla vence el 3 de noviembre de 2026. Aunque ese plazo obliga formalmente a organismos públicos estadounidenses, es una referencia útil para cualquier empresa: si un atacante ya la está usando, cada día sin parchear es un día de exposición. CISA exige aplicar las mitigaciones siguiendo las instrucciones del fabricante y evaluar la exposición a internet de cada activo. En el material consultado no consta uso conocido en campañas de ransomware, pero eso no rebaja la urgencia: la explotación confirmada ya es motivo suficiente.

Qué hacer hoy

  • Comprobar si se usa Plex Media Server y en qué versión. Revisa el inventario de software y los servidores, incluidos los que están en manos de un proveedor externo o en una oficina remota. Si la versión es anterior a la 1.43.3.10861, está en el rango afectado.
  • Aplicar la actualización o mitigación que indique el aviso del fabricante. El material no detalla un parche concreto más allá de la referencia de versión; sigue las notas de la versión oficial de Plex Media Server y no improvises soluciones intermedias.
  • Revisar indicios de intrusión. Una SSRF permite lanzar peticiones internas, así que conviene mirar los registros del servidor en busca de solicitudes anómalas a la ruta /video/:/transcode/universal con destinos internos o externos no habituales, y revisar si ha habido movimiento lateral hacia otros sistemas de la red.
  • Reducir lo expuesto a internet. Si el servidor no necesita estar accesible desde fuera, ciérralo. Si lo necesita, limita el acceso a las IP necesarias, exige autenticación robusta y segmenta el servicio en una VLAN separada de los sistemas críticos.
  • Revisar el resto de la cadena. Dado que puede encadenarse con CVE-2026-96652, CVE-2026-96654 y CVE-2026-96656, comprueba también el estado de esos fallos en el mismo entorno.

Cómo puede ayudar un equipo de ciberseguridad como el de ALMC

En ALMC trabajamos con pymes, comercios online y empresas de Lleida, Barcelona, Tarragona, Girona y resto de España que tienen webs en WordPress, PrestaShop o Joomla, servidores propios o un equipo de IT reducido. Muchas veces el problema no es solo el fallo concreto, sino la falta de visibilidad: servicios como Plex Media Server acaban fuera del inventario y nadie los revisa hasta que hay un incidente.

Nuestro enfoque pasa por auditorías de seguridad y pentesting para localizar vulnerabilidades antes de que las exploten, hardening de servidores para reducir la superficie de ataque, monitorización y respuesta a incidentes para detectar comportamientos anómalos a tiempo, y mantenimiento y actualización de las plataformas que sostienen tu negocio. Si el problema ya ha ocurrido, también nos ocupamos de la reparación de webs hackeadas y de dejar el sistema en un estado seguro y documentado, cumpliendo con el RGPD y la LOPDGDD en la gestión de los datos afectados.

La lección de CVE-2026-96655 es sencilla: un servicio secundario con una puntuación media puede convertirse en la puerta de entrada si nadie lo vigila. Tener un inventario actualizado, un plan de parcheo y alguien que revise los avisos del fabricante y del catálogo KEV de CISA marca la diferencia entre un susto y un incidente grave.

Relacionado

¿Está tu empresa expuesta a fallos como este?

En ALMC revisamos qué versiones tienes publicadas, aplicamos los parches y endurecemos tus servidores y tu web. Descubre nuestros servicios de ciberseguridad o contáctanos para una revisión.