Plex Media Server에서 발생한 CVE-2026-96656 취약점은 트랜스코더 설정으로 Codecs 디렉터리에 임의 파일을 쓸 수 있는 결함입니다. 실제 공격에 활용된 사례가 확인되어 CISA의 KEV(Known Exploited Vulnerabilities) 카탈로그에 등재되었습니다. 그만큼 즉각적인 패치가 필요한 보안 위험입니다.
CVE-2026-96656 취약점 개요 및 메커니즘
CVE-2026-96656은 Plex Media Server에서 발견된 심각한 보안 취약점으로, CVE 레코드에 공식 등록되었으며 배정 조직은 cisa-cg로 표기되어 있습니다. 공격자가 서버의 특정 설정 경로를 통해 시스템 파일 체계에 영향을 줄 수 있다는 것이 이 취약점의 핵심입니다.
Plex의 공식 보안 공지에 따르면, 해당 취약점의 메커니즘은 ‘트랜스코더 설정을 통한 Codecs 디렉터리로의 임의 파일 쓰기(Arbitrary file write to the Codecs directory through transcoder preferences)’로 정의됩니다. 공격자가 트랜스코더 관련 기본 설정값을 조작해 서버 내 특정 경로에 원치 않는 파일을 만들거나 덮어쓸 수 있음을 시사합니다.
CISA KEV 카탈로그에서는 이 결함을 ‘파일 이름 또는 경로의 외부 제어(External Control of File Name or Path)’ 취약점으로 분류하고 있습니다. 애플리케이션이 외부에서 입력된 파일 경로를 적절히 검증하지 않고 그대로 사용하여, 공격자가 의도한 위치에 파일을 쓰게 만드는 전형적인 경로 조작 취약점의 특성을 보입니다.
CISA KEV 등재의 보안적 의미
CISA(미국 사이버보안 및 인프라 보안국)가 운영하는 KEV 카탈로그는 단순히 이론적인 취약점이 아니라, 실제로 야생(In-the-wild)에서 악용된 사례가 확인된 취약점만을 엄선하여 관리하는 목록입니다.
CVE-2026-96656이 이 목록에 이름을 올렸다는 것은 다음 두 가지 핵심적인 의미를 담고 있습니다.
- 실제 공격 가능성 입증: 해당 취약점을 이용한 익스플로잇이 이미 개발되었으며, 실제 시스템을 대상으로 공격이 수행되었음을 의미합니다.
- 긴급 대응 필요성: CISA KEV 등재 취약점은 일반적인 보안 패치 주기보다 훨씬 빠르게 조치해야 하는 ‘긴급’ 대상입니다. 특히 홈 서버 운영자나 시스템 관리자는 자신의 서버가 외부에 노출되어 있다면 업데이트부터 서두르는 것이 맞습니다.
영향 범위 및 패치 버전 안내
해당 취약점은 Plex Media Server의 특정 버전 이하에서 광범위하게 나타납니다. 특히 v1.43.2 및 그 이전 버전들이 직접적인 영향 범위에 포함됩니다.
Plex는 이 취약점을 해결하기 위해 보안 패치가 적용된 최신 버전을 내놓았습니다. 운영 중인 서버와 클라이언트 소프트웨어의 버전을 확인한 뒤 즉시 업데이트하십시오.
| 구분 | 영향을 받는 버전 | 패치/해결 버전 |
|---|---|---|
| Plex Media Server | v1.43.2 및 이전 버전 | v1.43.3 |
| Plex Desktop | 확인 불가 | v1.115.0 |
보안 관리자가 유의해야 할 점 및 점검 리스트
이 취약점은 파일 경로 제어 권한을 획득하는 형태이므로, 관리자는 다음과 같은 관점에서 시스템을 점검할 필요가 있습니다.
1. 버전 최신화 및 업데이트 확인
가장 확실한 대응 방안은 패치 버전을 적용하는 것입니다. Media Server 1.43.3 버전으로 업데이트하여 트랜스코더 설정 관련 경로 제어 결함이 해결되었는지 확인하십시오.
2. 트랜스코더 설정 및 디렉터리 모니터링
취약점의 공격 경로가 ‘Codecs 디렉터리’로 지목된 만큼, 해당 디렉터리에 비정상적인 파일이 생성되었거나 권한이 변경된 기록이 있는지 로그를 분석해야 합니다.
3. 접근 제어 및 네트워크 격리
Plex 서버를 공인 IP로 직접 노출하여 운영하는 경우, 공격자가 설정 인터페이스에 접근할 가능성이 높아집니다. 가능하면 VPN을 이용하거나, 신뢰할 수 있는 IP 대역에서만 관리 페이지에 접근하도록 ACL(Access Control List)을 걸어 두는 편이 안전합니다.
마무리
CVE-2026-96656은 단순한 소프트웨어 버그가 아니라 실제 공격에 활용된 기록이 있는 위험한 취약점입니다. 트랜스코더 설정만으로 시스템의 Codecs 디렉터리에 임의의 파일을 작성할 수 있다는 점은 시스템 권한 상승이나 임의 코드 실행으로 이어질 수 있는 잠재적 경로가 됩니다.
Plex Media Server v1.43.2 이하 버전을 사용 중인 모든 관리자는 지체 없이 v1.43.3 버전으로 업데이트를 진행하고 보안 공백을 메우면 됩니다.