CISA KEV: sechs Lücken aktiv ausgenutzt – Plex2Shell unbestätigt

Am 20. Oktober 2026 sind sechs Schwachstellen in den Katalog aktiv ausgenutzter Lücken aufgenommen worden. Vier betreffen Plex Media Server, je eine die SiteGuard Server Edition von EG Secure Solutions und das Siemens Software Center. Für CVE-2026-96654 liegt der CVSS4-Score bei 6,9 – aussagekräftiger als die Zahl ist die Einstufung selbst, denn aufgenommen werden nur Lücken, für die Belege einer aktiven Ausnutzung vorliegen. Bei Plex schließen sich die vier Einträge zu einer Kette zusammen, die unter dem Namen Plex2Shell kursiert und als Payload einen XMRig-Kryptominer sowie ein Residential-Proxy-Tool auf dem Server platziert.

Plex2Shell: Wie die Kette aus vier Lücken funktioniert

Den Einstieg bildet CVE-2026-96652, gefolgt von CVE-2026-96654; über einen gestohlenen Token führen CVE-2026-96655 und CVE-2026-96656 zur Ausführung von Code auf dem Server. Offiziell bestätigt ist diese Verkettung bislang nicht. Belegt ist, dass alle vier Einträge am selben Tag wegen aktiver Ausnutzung in den Katalog gewandert sind – und dass ein öffentlicher Exploit seit dem 16. Oktober im Umlauf ist, also vier Tage vor der Aufnahme.

Bemerkenswert ist die Formulierung zu CVE-2026-96656: Eine Kontrolle über Dateinamen und Pfade erlaubt einem Administrator, beliebige Dateien zu schreiben, die beim Laden ausgeführt werden. Damit ist ein Administrator-Zugang Voraussetzung. Ob die Kette auch ohne jede Anmeldung ausnutzbar ist, ist damit nicht geklärt; die Darstellung einer vollständigen Übernahme ohne Login stützt sich nicht auf diese Beschreibung. Wer die Dringlichkeit begründen will, sollte den Unterschied kennen: Eine Lücke, die nach Admin-Login verlangt, ist ein anderes Risiko als eine, die jeder im Netz stehende Angreifer ausnutzen kann – für einen exponierten Server bleibt sie trotzdem ernst.

Miner und Proxy: was auf dem System landet

Der Payload ist wirtschaftlich motiviert: Ein XMRig-Miner verbraucht CPU-Zeit, ein Residential-Proxy-Tool macht den Server zum Ein- und Ausstiegspunkt für fremden Traffic. Der Proxy-Teil ist für Betreiber oft der unangenehmere – die IP-Adresse des Servers taucht im Zusammenhang mit fremden Zugriffen auf, was Reputation, Sperrlisten und alle Dienste trifft, die auf derselben Adresse laufen. Auffällig wird das selten durch einen Absturz, sondern durch Last, Stromverbrauch und Verbindungen, die niemand erklären kann.

Plex-Patch: Version 1.43.3.10861 schließt die Lücke

Betroffen sind Installationen von Plex Media Server vor Version 1.43.3.10861. Wer aktualisiert, schließt die Lücke, entfernt aber keine bestehende Infektion. Bis das Update eingespielt ist, gilt die wirksamste Sofortmaßnahme: Remote Access deaktivieren und Port 32400 nicht ins Internet weiterleiten. Ein Plex-Server, der nur im LAN erreichbar ist, bietet der Kette keine Angriffsfläche – die pragmatische Entscheidung für alle, die das Update nicht in den nächsten Stunden schaffen.

Nach dem Update gehört ein Blick auf den laufenden Betrieb dazu: Prozesse mit unerwarteter CPU-Last, ausgehende Verbindungen zu unbekannten Zielen, Dateien im Installationsverzeichnis, die kein Update dort abgelegt hat. Wer den Server über Jahre mit Film- und Musikdatenbanken aufgebaut hat, sollte außerdem die Netzwerkfreigaben prüfen – ein kompromittierter Medien-Server hatte in der Vergangenheit oft mehr Zugriff, als seinem Zweck entspricht.

Zwei Fristen: 23. Oktober und 3. November 2026

Die Patch-Fristen sind gestaffelt: Drei der sechs Lücken – darunter CVE-2026-96654 und CVE-2026-96656 sowie CVE-2026-106931 – müssen bis zum 23. Oktober 2026 geschlossen sein, die übrigen drei bis zum 3. November 2026. Formal binden diese Deadlines US-Bundesbehörden; für alle anderen sind sie ein belastbarer Indikator dafür, wie ernst die Lage eingeschätzt wird. Wer eine Plex-Instanz mit Internetzugang betreibt, sollte die Frist vom 23. Oktober als eigene behandeln.

Für die Zuordnung der einzelnen CVE-Nummern zu den Produkten gilt eine Einschränkung: Dass CVE-2026-106931 zu SiteGuard oder zum Siemens Software Center gehört, ist nicht belegt. Die Frist gilt, die Produktzuordnung nicht.

SiteGuard und Siemens Software Center: dünne Faktenlage

Für die SiteGuard Server Edition ist eine Befehlsschmuggel-Lücke Gegenstand der KEV-Aufnahme. Ein Patchstand ist nicht dokumentiert; Betreiber müssen beim Hersteller nachfragen, statt auf ein automatisches Update zu hoffen. Beim Siemens Software Center sind Fix-Versionen verfügbar, eine konkrete Versionsnummer ist derzeit nicht öffentlich dokumentiert. Bis zur Klärung gilt dieselbe Regel wie überall: betroffene Installationen nicht aus dem Internet erreichbar lassen.

Was Admins jetzt tun sollten

Die Reihenfolge ergibt sich aus der Ausnutzungslage, nicht aus dem CVSS-Score. Plex zuerst: öffentlicher Exploit, aktive Ausnutzung, Kette mit zwei Payloads. Danach das Siemens Software Center, sobald die Versionsnummer verifiziert ist. SiteGuard zuletzt – nicht weil es harmlos wäre, sondern weil ohne Fix-Angabe nur die Netzwerkseite bleibt.

Wer patcht, sollte nicht beim Update aufhören. Ein bereits installierter Miner oder Proxy überlebt das Update, und die Kette ist seit mindestens dem 16. Oktober öffentlich. Die Aufnahme in den KEV-Katalog am 20. Oktober ist der stärkste Hinweis, den es derzeit gibt: Es liegen Belege für aktive Ausnutzung vor, nicht nur ein theoretisches Proof-of-Concept. Für Admins heißt das zweierlei – die Plex-Instanz gehört in den nächsten Tagen auf 1.43.3.10861 oder offline, und die Frage nach einer bestehenden Infektion ist genauso wichtig wie die nach dem Patch.

Quellen