Plex Media Server CVE-2026-96654 취약점 분석: 무엇이 문제인가?

Plex Media Server에서 발견된 CVE-2026-96654 취약점은 루프백 인터페이스로 내부 에이전트 기능에 접근할 수 있게 만드는 결함입니다. 최악의 경우 원격 공격자가 관리자 계정 자격 증명을 탈취한 뒤 서버 내에 임의 파일을 기록하는 상황까지 벌어질 수 있습니다.

CVE-2026-96654 취약점 개요 및 기술적 특성

CVE-2026-96654는 Plex Media Server의 보안 설계상 허점을 노린 취약점입니다. 기술적으로는 루프백 인터페이스를 통한 내부 에이전트 기능 접근(Access to internal agent functions over the loopback interface)으로 정의되며, 구체적으로는 searchOne을 이용한 인증되지 않은 URL 인젝션(unauth URL injection) 취약점으로 분석됩니다.

이 취약점의 CVSS 점수는 6.5입니다. 그런데 일반적인 단일 취약점보다 더 위험합니다. 이 결함은 다른 취약점과 결합해 복합적인 공격 체인을 형성하기 때문입니다. 특히 내부 에이전트 기능에 대한 비정상적인 접근 권한으로 시스템의 제어권을 획득하려는 시도에서 핵심적인 역할을 합니다.

Plex2Shell RCE 체인과 CVE-2026-96654의 역할

CVE-2026-96654는 단독으로 작동하기보다 ‘Plex2Shell’로 불리는 원격 코드 실행(RCE) 체인의 일환으로 활용됩니다. 공격은 다음과 같은 단계로 진행됩니다.

1. SSRF 단계: 공격자는 먼저 /player/timeline에서 발생하는 SSRF(Server-Side Request Forgery) 취약점인 CVE-2026-96652를 이용합니다.
2. 인증 토큰 획득: 앞 단계의 SSRF로 CVE-2026-96654(searchOne)를 호출해 서버 소유자의 관리자 토큰(admin token)을 가로챕니다.
3. 최종 공격: 이렇게 탈취한 자격 증명으로 서버에 접근해 임의 파일을 기록하는 단계까지 도달합니다.

이 취약점은 결국 공격자가 인증 없이도 관리자 권한을 획득하게 만드는 징검다리 구실을 하며, 시스템 전체의 무결성을 훼손할 수 있는 치명적인 경로를 열어 줍니다.

CISA KEV 등재 및 실제 악용 사례

공신력 있는 보안 기관이 이 취약점의 위험성을 입증했습니다. 미국 사이버보안 및 인프라 보안국(CISA)은 2026년 10월 20일 CVE-2026-96654를 포함한 4가지 취약점(CVE-2026-96652, CVE-2026-96654, CVE-2026-96655, CVE-2026-96656)을 ‘Known Exploited Vulnerabilities (KEV)’ 카탈로그에 추가했습니다.

KEV 카탈로그에 등재됐다는 것은 이 취약점이 이론적인 위험을 넘어 실제 공격에 악용되고 있음을 뜻합니다. CISA는 또한 CSAF 형식의 어드바이저리 VA-26-266-01를 공개해 Plex Media Server의 이전 버전들에 포함된 여러 취약점을 경고한 바 있습니다.

영향 버전 및 대응 방안

Plex Media Server 운영자라면 지금 사용 중인 서버의 버전을 즉시 확인하고 보안 업데이트를 적용해야 합니다. 취약점의 영향 범위와 점검 기준은 다음과 같습니다.

버전별 취약성 진단 기준

관리자를 위한 대응 가이드

1. 버전 확인: 현재 운영 중인 Plex Media Server의 버전을 확인합니다. CISA CSAF 기준으로 1.43.3.10861 미만 버전이라면 즉각적인 조치가 필요합니다.
2. 업그레이드 수행: 이 취약점의 근본적인 대응 방안은 최신 버전으로 업그레이드하는 것입니다. 서버를 1.43.3.10861 이상의 버전으로 업데이트하면 됩니다.
3. 추가 점검: CVE-2026-96654는 CVE-2026-96652 등 다른 취약점과 결합해 RCE 체인을 형성하므로, 관련 어드바이저리(VA-26-266-01)에 명시된 다른 취약점들의 패치 여부도 함께 점검해 두는 것이 좋습니다.