Plex Media Server에서 발견된 CVE-2026-96655는 인증된 사용자가 서버 측 요청 위조(SSRF)로 내부와 외부 주소에 임의의 요청을 보내는 취약점입니다. 미국 CISA의 알려진 악용 취약점(KEV) 카탈로그에도 올라와 있습니다. 실제 공격에 악용되고 있음이 확인된 위험한 결함입니다.
CVE-2026-96655 취약점 개요 및 기술적 특성
CVE-2026-96655는 Plex Media Server에서 발생하는 서버 측 요청 위조(SSRF, Server-Side Request Forgery) 취약점입니다. SSRF는 공격자가 서버를 대리자로 삼아 서버가 접근 가능한 내부 네트워크나 외부 시스템으로 위조된 요청을 보내게 만드는 공격 기법입니다.
구체적인 기술적 특성은 다음과 같습니다.
- 공격 경로: 인증된 사용자가
/video/:/transcode/universal경로 파라미터를 조작하면서 발생합니다. - 동작 방식: 공격자는 해당 파라미터로 임의의 내부 또는 외부 주소에 요청을 전송하며, 서버가 이를 처리하는 과정에서 보안 경계가 무너지는 결과를 낳습니다.
- 공격 전제 조건: CISA KEV 기록에 따르면 이 취약점은 완전히 외부에서 접근하는 익명 사용자가 아니라 ‘인증된 사용자’가 악용하는 구조입니다.
CISA KEV 등재 및 실제 악용 위험성
단순히 취약점이 발견된 것을 넘어, CVE-2026-96655가 미국 사이버보안 및 인프라 보안국(CISA)의 알려진 악용 취약점(KEV) 카탈로그에 등재되었다는 점은 보안 관리자가 매우 심각하게 받아들여야 할 대목입니다.
CISA KEV 등재는 이 취약점이 이론적인 잠재 위험에 그치지 않고, 실제 야생(In-the-wild) 환경에서 공격에 이용됐음이 확인됐다는 분류 근거가 됩니다. Plex Media Server를 운영하는 관리자라면 이 취약점을 단순한 패치 대상이 아니라 현재 진행 중인 위협으로 간주하고, 즉각적인 대응 체계를 갖춰야 합니다.
관리자 토큰 유출 및 타 취약점과의 체이닝
CVE-2026-96655의 가장 치명적인 위험성은 서버 소유자의 권한을 완전히 탈취하는 경로를 제공한다는 점입니다.
1. 관리자 토큰(Admin Token) 유출
Plex 공식 보안 공지에 따르면 CVE-2026-96655 취약점은 서버 소유자의 관리자 토큰 유출과 직접 연결되어 있습니다. 관리자 토큰이 유출되면 공격자는 서버의 모든 설정과 데이터에 접근하는 최고 권한을 획득하고, 서버 전체의 통제권을 상실할 위험이 큽니다.
2. 취약점 체이닝
이 취약점은 단독으로 쓰이기보다 다른 취약점들과 결합되어 공격의 파급력을 높이는 ‘체이닝(Chaining)’ 공격에 활용됩니다. 구체적으로 CVE-2026-96655는 다음 취약점들과 체이닝됨이 확인되었습니다.
- CVE-2026-96652
- CVE-2026-96654
- CVE-2026-96656 (임의 파일 관련 취약점)
이런 체이닝으로 공격의 파급력이 확대될 위험이 있습니다.
영향 범위 및 최신 보안 업데이트 적용 방안
해당 취약점에 노출된 버전과 해결 방법은 다음과 같습니다.
| 구분 | 상세 내용 |
|---|---|
| 영향을 받는 버전 | Plex Media Server v1.43.2 및 이전 버전 |
| 필수 업데이트 버전 | 빌드 1.43.3.10861 이상 |
| 핵심 위험 요소 | SSRF를 통한 관리자 토큰 유출 및 타 취약점 체이닝 |
| CISA 상태 | KEV(Known Exploited Vulnerabilities) 등재 완료 |
서버 관리자는 지금 운영 중인 Plex Media Server의 빌드 버전부터 확인해야 합니다. v1.43.2 이하 버전을 쓰고 있다면 빌드 1.43.3.10861 이상의 최신 버전으로 업데이트하면, CVE-2026-96655와 함께 포함된 CVE-2026-96656 등의 임의 파일 관련 취약점도 동시에 해결됩니다.
특히 기업 내 홈 미디어 서버 인프라를 관리하는 IT 보안 담당자는 인증된 사용자가 일으키는 내부 공격 가능성을 염두에 두고, 업데이트 전까지 해당 취약점이 이용되는 경로인 /video/:/transcode/universal 관련 요청을 주의 깊게 살펴볼 필요가 있습니다.