OWN NEWS GATHER
← 戻る
The Hacker News

米CISA、Plexやシーメンス製品などの悪用脆弱性をカタログ追加　連邦機関にパッチ適用を指示

要点

  • 米サイバーセキュリティ・インフラセキュリティ庁（CISA）が、実環境での悪用が確認された脆弱性カタログにPlexやシーメンス、EGセキュアソリューションズ製品の欠陥を追加した。

  • 「Plex2Shell」と呼ばれるPlex Media Serverの4つの脆弱性は、連鎖させることで未認証のリモートコード実行が可能となり、暗号資産マイナー感染などに悪用されている。

  • シーメンス製品のDLLサイドローディング脆弱性や、Webセキュリティ製品「SiteGuard Server Edition」のコマンドインジェクション脆弱性でも悪用が確認された。

  • 米連邦文民行政府機関に対し、危険度に応じて2026年10月23日および11月3日までに修正パッチを適用するよう命令が出された。

  • 米サイバーセキュリティ・インフラセキュリティ庁（CISA）は2026年10月20日、現実に悪用が確認された脆弱性をまとめた「悪用が確認された脆弱性（KEV）」カタログに新たな欠陥を追加したと発表した。対象には、メディアサーバーソフトウェア「Plex Media Server」の脆弱性群「Plex2Shell」や、シーメンス、日本のセキュリティ企業であるEGセキュアソリューションズの製品に含まれる脆弱性が含まれている。CISAは米国の連邦文民行政府（FCEB）機関に対し、定められた期日までに修正プログラムを適用するよう命じている。

4つの欠陥を連鎖させる「Plex2Shell」とマルウェア感染の手口

今回カタログに追加された中で注目されるのが、Plex Media Serverに存在する通称「Plex2Shell」と呼ばれる4件の脆弱性だ。具体的には以下の欠陥で構成されている。

  • CVE-2026-96652（CVSSスコア：5.3）：サーバーサイド・リクエスト・フォージェリ（SSRF）の脆弱性
  • CVE-2026-96654（CVSSスコア：6.9）：Webページ内におけるエンコードされたURIスキームの不適切な無害化に関する脆弱性
  • CVE-2026-96655（CVSSスコア：5.3）：サーバーサイド・リクエスト・フォージェリ（SSRF）の脆弱性
  • CVE-2026-96656（CVSSスコア：8.6）：外部からファイル名やパスを制御できてしまう脆弱性

なお、CVSSとは脆弱性の深刻度を数値で表す国際指標であり、SSRFとはサーバーを踏み台にして本来アクセスできない内部ネットワーク等へ不正なリクエストを送信させる手法を指す。

これらの一連の脆弱性を発見・報告したセキュリティ研究者のZach Main氏によると、攻撃者はこれら4つの欠陥を連鎖させることで、認証を一切経ずに遠隔から任意のプログラムを実行できる「リモートコード実行（RCE）」を達成できるという。開発元は2026年8月3日に公開した更新版「Plex Media Server 1.43.3.10861」ですでに対処を完了している。

しかし、セキュリティ研究者のboredhackerblog氏が報告した調査結果によれば、脅威アクターがすでにこれらの欠陥を悪用し、標的の環境に暗号資産（仮想通貨）を発掘させるマイニングツールや不正中継を行うプロキシマルウェアを配備している実態が明らかになっている。

シーメンス製品を狙う攻撃とSiteGuardのコマンドインジェクション

CISAはPlex Media Serverの欠陥に加え、さらに2件の脆弱性についても現実のサイバー攻撃で悪用されているとしてカタログに追加した。

1件目は、シーメンスのソフトウェア管理ツール「Siemens Software Center」に存在するDLLサイドローディングの脆弱性（CVE-2026-110936、CVSSスコア：8.4）だ。DLLサイドローディングとは、正規のプログラムが外部ライブラリを読み込む仕組みを悪用して悪意あるコードを実行させる手法を指す。この欠陥は、「Romulus」と呼ばれるプラットフォームを利用した「ClickFix」攻撃の中で悪用が確認されている。

2件目は、日本のEGセキュアソリューションズが提供する「SiteGuard Server Edition」で確認されたコマンドインジェクションの脆弱性（CVE-2026-106931、CVSSスコア：8.5）だ。コマンドインジェクションとは、外部からの不正な入力値によってサーバー上で意図しないシステムコマンドを実行させてしまう不具合のことである。同社はこの脆弱性が実際に攻撃者によって悪用されている事実を確認したと公表している。なお、現時点ではこの悪用活動に関する詳細な手口などは明らかにされていない。

米連邦機関に義務付けられた2段階のパッチ適用期限

CISAが運用するKEVカタログへの追加は、米国の連邦行政機関に対して具体的な是正措置を義務付ける法的効力を持つ。今回、CISAは国防や軍事部門を除く行政組織である連邦文民行政府（FCEB）機関に対し、悪用が確認された脆弱性への迅速なパッチ適用を命じた。

対応期限は危険度や性質に応じて2段階に設定されている。緊急性の高い以下の3件については、2026年10月23日までの迅速な適用が求められた。

  • SiteGuard Server Editionのコマンドインジェクション（CVE-2026-106931）
  • Plex Media Serverのファイル名・パス制御の脆弱性（CVE-2026-96656）
  • Plex Media ServerのURIスキーム無害化不備（CVE-2026-96654）

一方で、Plex Media Serverの残り2件のSSRF脆弱性（CVE-2026-96652、CVE-2026-96655）およびシーメンス製品のDLLサイドローディング脆弱性（CVE-2026-110936）を含む残りの欠陥については、2026年11月3日までに修正を完了するよう指示されている。

元URL