Plex Media Server SSRF 취약점 보안 권고 (CVE-2026-96652) - 내부망 침투 및 원격 요청 위조

영향받는 벤더 / 생태계

Plex

대상 컴포넌트 / 패키지

Plex Media Server

권고문 발행일

2026-09-23

실무자 핵심 요약 (Executive Summary)

SECOPS ASSESSMENT

영향 대상

1.43.3.10861 미만 버전의 모든 Plex Media Server 설치본

파급 효과

유효한 X-Plex-Token을 보유한 공격자가 서버를 프록시로 악용하여 내부 네트워크 자원에 접근하거나 임의의 대상에 POST 요청 전송 가능

권장 조치

Plex Media Server를 최신 보안 패치가 적용된 1.43.3.10861 버전 이상으로 즉시 업데이트

영향받는 제품 및 버전 범위

Plex Media Server 1.43.3.10861 이전의 모든 버전이 영향을 받습니다. 특히 인터넷에 직접 노출되어 있거나 다수의 사용자와 라이브러리를 공유하는 환경에서 위험도가 높습니다.

권장 패치 및 임시 완화(Workaround) 가이드

PATCH & WORKAROUND

가장 효과적인 조치는 최신 버전으로 업데이트하는 것입니다.

서버 업데이트:
Linux (Ubuntu/Debian): sudo apt-get update && sudo apt-get install plexmediaserver 실행
Docker: docker pull plexinc/pms-docker:latest 후 컨테이너 재시작

임시 완화 조치 (WAF/Reverse Proxy):

패치 적용 전까지 Nginx 등 리버스 프록시에서 'protocol' 매개변수에 URL 형식이 포함된 요청을 차단하십시오.

nginx

   if ($arg_protocol ~* "^https?://") {
       return 403;
   }

권장 아키텍처 방어 통제 (Recommended Security Control)

Cloudflare Enterprise & Pro WAF

CISA KEV 등재 취약점으로 실제 악용 사례가 확인되었으므로, 관리자는 즉시 패치를 수행하고 서버 로그에서 '/player/timeline' 경로에 대한 비정상적인 외부 URL 호출 흔적을 조사해야 합니다.

코드 수정 전에도 가상 패치(Virtual Patching)로 웹 공격을 즉시 차단하세요

서버 재시작이나 긴급 패치가 어려운 운영 환경이라면 클라우드 WAF 관리형 룰셋을 활성화하여 SQLi, RCE, XSS 익스플로잇 페이로드를 엣지에서 1분 만에 차단할 수 있습니다.

평균 설정 시간 3분 · Zero-Day 자동 룰 업데이트

무료 WAF 보안 진단 및 룰셋 적용하기

이 웹 취약점(WAF 우회 & RCE)을 안전한 실습 랩에서 직접 재현해 보세요

실습 랩 & 보안 강의 보러가기

취약점 발생 원리 및 공격 메커니즘

본 취약점은 Plex Media Server의 '/player/timeline' 엔드포인트에서 발생하는 서버 측 요청 위조(SSRF, CWE-918) 결함입니다. 공격자는 'protocol' 매개변수에 검증되지 않은 전체 URL을 삽입함으로써, Plex 서버가 공격자가 지정한 목적지로 HTTP POST 요청을 보내도록 강제할 수 있습니다. 비록 CVSS 점수는 4.3(Medium)으로 산정되었으나, CISA KEV(Known Exploited Vulnerabilities)에 등재되고 EPSS 점수가 0.94에 달하는 등 실제 공격 현장에서 내부망 침투(Pivoting) 및 데이터 유출을 위한 발판으로 적극 악용되고 있습니다.

공식 보안 권고문 및 참조 링크

NVD Original English Description

Plex Media Server before 1.43.3.10861 allows SSRF via '/player/timeline'. An attacker using any X-Plex-Token value can include a full URL in the 'protocol' parameter and force the Plex server to POST to the attacker's chosen destination.

https://forums.plex.tv/t/plex-media-server/30447/711

Source: 9119a7d8-5eab-497f-8521-727c672e3725 · Release Notes

https://raw.githubusercontent.com/cisagov/CSAF/develop/csaf_files/IT/white/2026/va-26-266-01.json

Source: 9119a7d8-5eab-497f-8521-727c672e3725 · Third Party Advisory

https://www.cve.org/CVERecord?id=CVE-2026-96652

Source: 9119a7d8-5eab-497f-8521-727c672e3725 · Third Party Advisory, VDB Entry

https://zmain.info/blog/plex2shell

Source: 9119a7d8-5eab-497f-8521-727c672e3725 · Third Party Advisory

https://www.cisa.gov/known-exploited-vulnerabilities-catalog?field_cve=CVE-2026-96652

Source: 134c704f-9b21-4f2e-91b3-4a467353bcc0 · US Government Resource

SecOps Advisory Dispatch & RSS Feed

일간 취약점 브리핑 및 긴급 Zero-Day 경보 구독

보안 실무자와 인프라·백엔드 엔지니어를 위해 매일 아침 주요 취약점과 패치 우선순위를 요약해 발송합니다.

Slack / Teams / RSS 리더 연동: