CVE-2026-96652는 Plex Media Server의 player timeline 엔드포인트에서 발생하는 인증 없는 서버 측 요청 위조(SSRF) 취약점입니다. 이미 실제 공격에 악용되어 CISA KEV 카탈로그에 등재되었습니다.
CVE-2026-96652 취약점 개요 및 기술적 특성
CVE-2026-96652는 Plex Media Server의 특정 엔드포인트에 존재하는 보안 결함입니다. 이 취약점의 핵심은 서버가 외부의 요청을 제대로 검증하지 않고 처리해, 공격자가 서버를 이용해 내부 네트워크나 외부 타겟에 임의의 요청을 보내게 만드는 서버 측 요청 위조(Server-Side Request Forgery, SSRF)에 있습니다.
특히 이 취약점은 인증 절차를 거치지 않고도 악용된다는 점에서 위험도가 높습니다. 취약점이 발생한 구체적인 지점은 Plex Media Server의 ‘player timeline’ 엔드포인트로 확인되었습니다. 공격자는 이 엔드포인트에서 서버의 권한을 빌려 비정상적인 네트워크 요청을 유도할 수 있습니다.
Plex2Shell: RCE 공격 체인 및 악용 사례
CVE-2026-96652는 단독으로 쓰이기보다 다른 취약점들과 결합해 더 치명적인 공격 경로를 이루는 특징이 있습니다. 보안 전문가 ZM은 CVE-2026-96652를 포함한 네 가지 취약점을 엮어 ‘Plex2Shell’로 이름 붙인 원격 코드 실행(RCE) 체인을 구성했습니다.
이 공격 체인에 포함된 취약점은 다음과 같습니다.
- CVE-2026-96652 (SSRF)
- CVE-2026-96654
- CVE-2026-96655
- CVE-2026-96656
실제로 이 취약점 체인을 악용한 공격 사례가 관측되었습니다. 2026년 10월 17일, 취약한 버전의 Plex를 실행 중인 허니팟에서 실제 악용과 함께 암호화폐 채굴기가 배포되는 현상이 포착되었습니다. 이후 관측에서는 암호화폐 채굴기뿐 아니라 ‘myawesomeproxy’ 같은 악성 소프트웨어도 실행된 것이 확인되었습니다.
CISA KEV 등재 및 실제 위협 분석
미국 사이버보안 및 인프라 보안국(CISA)은 2026년 10월 20일 CVE-2026-96652를 포함한 4가지 취약점(CVE-2026-96652, CVE-2026-96654, CVE-2026-96655, CVE-2026-96656)을 ‘알려진 악용 취약점(Known Exploited Vulnerabilities, KEV)’ 카탈로그에 추가했습니다.
CISA KEV 카탈로그는 이론상 위험한 취약점이 아니라 실제로 야생(In-the-wild)에서 공격에 이용된 것이 증명된 취약점만을 다룹니다. CVE-2026-96652가 등재되었다는 건 해당 SSRF 취약점이 공격자들에게 활발히 이용되고 있으며, 즉각적인 패치가 필요한 긴급한 위협이라는 뜻입니다.
영향 범위 및 최신 보안 업데이트 적용 방안
해당 취약점의 영향 범위와 해결 방법을 표로 정리했습니다. 지금은 운영 중인 서버의 버전을 확인해 즉시 업데이트하는 것이 가장 시급합니다.
| 구분 | 상세 내용 |
|---|---|
| 영향을 받는 버전 | Plex Media Server v1.43.2 및 이전 버전 |
| 해결 버전 (필수 업데이트) | 빌드 1.43.3.10861 이상 |
| 취약점 유형 | 인증 없는 서버 측 요청 위조 (Unauthenticated SSRF) |
| CISA KEV 등재일 | 2026년 10월 20일 |
홈서버 사용자와 기업 내 미디어 서버 관리자는 현재 사용 중인 Plex Media Server의 빌드 번호를 확인한 뒤 1.43.3.10861 이상의 최신 버전으로 업데이트하면, Plex2Shell 체인이 일으키는 RCE 공격과 암호화폐 채굴기 설치 위험을 막을 수 있습니다.
탐지 및 침해 지표(IOC) 정보
보안 담당자라면 서버 로그와 네트워크 트래픽을 분석해 침해 여부를 확인할 수 있습니다. 실제 공격에 사용된 것으로 관측된 IP 주소와 파일 다운로드 서버 정보는 다음과 같습니다.
- 공격 출발지 IP 주소: 45.194.92.222, 91.92.40.202, 176.65.139.228
- 악성 파일(docker, x) 다운로드 서버: 217.60.194.116
위 IP 주소들과 통신한 기록이 발견된다면 해당 서버는 이미 공격 시도에 노출됐거나 침해됐을 가능성이 큽니다. 즉각적인 보안 점검과 업데이트가 필요합니다.