Plex Media Server 서버 측 요청 위조(SSRF) 취약점 보안 권고 (CVE-2026-96655)
실무자 핵심 요약 (Executive Summary)
SECOPS ASSESSMENT1.43.3.10861 미만 버전의 모든 Plex Media Server 설치본
인증된 사용자가 서버를 대리인으로 악용하여 내부망 스캔, 클라우드 메타데이터 탈취 및 외부 공격 수행 가능
Plex Media Server를 최신 안정화 버전(1.43.3.10861 이상)으로 즉시 업데이트
영향받는 제품 및 버전 범위
권장 패치 및 임시 완화(Workaround) 가이드
PATCH & WORKAROUND가장 효과적인 조치는 공식 패치가 적용된 버전으로 업데이트하는 것입니다.
1. 서버 업데이트
관리자 페이지에서 '설정 > 서버 > 일반'으로 이동하여 업데이트를 확인하거나, 공식 홈페이지에서 최신 바이너리를 다운로드하여 설치하십시오.
2. 네트워크 수준 완화 조치 (패치 불가 시)
서버가 불필요한 내부망 IP 대역(예: 169.254.169.254, 192.168.x.x)으로 아웃바운드 요청을 보내지 못하도록 방화벽 규칙을 설정하십시오.
# Linux (iptables) 예시: Plex 사용자가 클라우드 메타데이터 IP에 접근하는 것을 차단
iptables -A OUTPUT -m owner --uid-owner plex -d 169.254.169.254 -j REJECT3. WAF 탐지 규칙 적용
HTTP 요청 경로에 http:// 또는 https://가 포함된 비정상적인 파라미터 전달을 모니터링하십시오.
코드 수정 전에도 가상 패치(Virtual Patching)로 웹 공격을 즉시 차단하세요
서버 재시작이나 긴급 패치가 어려운 운영 환경이라면 클라우드 WAF 관리형 룰셋을 활성화하여 SQLi, RCE, XSS 익스플로잇 페이로드를 엣지에서 1분 만에 차단할 수 있습니다.
취약점 발생 원리 및 공격 메커니즘
본 취약점(CVE-2026-96655)은 Plex Media Server의 트랜스코딩 엔드포인트인 /video/:/transcode/universal 경로에서 발생하는 서버 측 요청 위조(SSRF, CWE-918) 결함입니다. 공격자는 인증된 세션을 통해 해당 경로의 파라미터를 조작함으로써, Plex 서버가 공격자가 지정한 임의의 내부 IP 주소나 외부 URL로 HTTP 요청을 보내도록 강제할 수 있습니다. 특히 이 취약점은 CISA KEV(Known Exploited Vulnerabilities)에 등재되어 있으며, EPSS 점수가 0.94에 달할 정도로 실제 공격 현장에서 활발히 악용되고 있습니다. 공격 성공 시 방화벽 뒤에 숨겨진 내부 관리 페이지 접근, 클라우드 환경(AWS/GCP/Azure)의 인스턴스 메타데이터 서비스(IMDS) 탈취를 통한 자격 증명 노출 등의 심각한 2차 피해로 이어질 수 있습니다.
공식 보안 권고문 및 참조 링크
Plex Media Server before 1.43.3.10861 allows an authenticated user to request arbitrary internal or external addresses via the '/video/:/transcode/universal' path parameter.
일간 취약점 브리핑 및 긴급 Zero-Day 경보 구독
보안 실무자와 인프라·백엔드 엔지니어를 위해 매일 아침 주요 취약점과 패치 우선순위를 요약해 발송합니다.