CVE-2026-96652: Plex Media Server 인증 없는 SSRF와 CISA KEV 등재

Plex Media Server를 미디어 서비스로 운영하면서 인터넷에 열어 둔 환경이라면 확인해야 할 항목이 하나 늘었습니다. CVE-2026-96652는 Plex Media Server의 player timeline 엔드포인트에서 인증 없이 악용될 수 있는 서버 측 요청 위조(Server-Side Request Forgery, SSRF) 취약점입니다. Plex 공식 보안 공지 Important Security Update for Plex Media Server v1.43.2 and earlier는 CVE-2026-96652를 player timeline 엔드포인트의 인증 없는 SSRF로 기재하고 영향 대상을 v1.43.2 및 이전 버전으로 제시합니다. 미국 CISA의 알려진 악용 취약점(KEV) 카탈로그에도 같은 식별자가 등재되었습니다.

개요

CVE-2026-96652는 Plex Media Server의 SSRF 결함으로, CVE Project/CISA CNA(cvelistV5) 레코드에 Published 상태로 공개되어 있습니다. 전달된 발췌에서 확인되는 것은 CVE 식별자와 배정 기관 표기(cisa-cg), 공개 상태입니다.

Plex는 위 공식 공지에서 CVE-2026-96652를 "Unauthenticated server-side request forgery in the player timeline endpoint", 즉 player timeline 엔드포인트의 인증 없는 SSRF로 명시했습니다. 공지 제목은 영향 대상을 v1.43.2 및 이전 버전으로 제시합니다. 다만 전달된 발췌에는 요청 검증 방식이나 수정 버전 상세는 포함되어 있지 않습니다.

여기에 미국 CISA가 운영하는 KEV(Known Exploited Vulnerabilities) 카탈로그 항목에도 Plex Media Server SSRF로 같은 CVE가 등재되었습니다. KEV는 Known Exploited Vulnerabilities, 즉 알려진 악용 취약점을 모은 카탈로그입니다. 다만 전달된 근거에는 KEV에 기재된 악용의 세부 내용과 침해 지표, 기관별 조치 기한은 포함되어 있지 않습니다.

영향 범위

Plex 공식 공지 제목이 제시하는 영향 대상은 v1.43.2 및 그 이전 버전의 Plex Media Server입니다. 취약 동작이 player timeline 엔드포인트에서 나타난다는 점이 공지에서 확인되는 취약점의 위치이며, 그 엔드포인트가 어떤 네트워크에 배포되어 있는지에 대한 상세는 전달된 근거에 명시되어 있지 않습니다.

배포 환경별 해석은 조건부로 한정합니다.

• 개인·홈서버 환경: 홈 네트워크의 미디어 서버로 쓰던 Plex가 v1.43.2 및 이전 버전을 실행 중이었다면, 공지 표현대로 인증을 요구하지 않는 SSRF 경로가 성립할 조건을 갖습니다. 그 경로가 실제로 외부에서 도달 가능한지는 각 환경의 서비스 구성에 달려 있고 전달된 근거로는 확인되지 않습니다.
• 사무실·매장 등 업무 환경: 업무 공간의 미디어·전시 서버로 Plex가 운영되는 경우에도 영향 버전이라면 같은 엔드포인트 결함을 갖습니다. 이 서버가 내부 네트워크의 다른 자원이나 내부 자원에 미친 영향의 구체 범위는 근거에 명시되어 있지 않습니다. SSRF 유형에서 일반적으로 거론되는 가능성까지 이 취약점에서 입증된 것으로는 취급하지 않습니다.

판정 기준과 관련해 확인되는 사실은 두 가지입니다. 첫째, Plex 공식 공지는 v1.43.2 및 이전 버전을 영향 대상으로 제시합니다. 둘째, 업데이트로 해결된 정확한 수정 릴리스 번호는 전달된 근거에 명시되어 있지 않아 현시점에서 확인할 수 없습니다. 따라서 현재로서는 버전 비교의 기준이 공지 제목이 제시하는 상한, 즉 v1.43.2 및 이전이라는 점에 의존할 수밖에 없습니다.

기술적 분석

player timeline 엔드포인트의 인증 없는 SSRF

취약 지점은 player timeline 엔드포인트입니다. Plex는 CVE-2026-96652를 "Unauthenticated server-side request forgery in the player timeline endpoint"로 설명하고, CISA KEV 카탈로그에도 Plex Media Server의 SSRF 결함으로 기재되어 있습니다. SSRF는 서버가 대신 요청을 보내는 기능을 역이용해 서버가 공격자가 지정한 대상으로 요청을 보내게 만드는 취약점 유형입니다.

Plex의 설명대로 인증을 요구하지 않는 SSRF라면, 자격 증명이나 세션 탈취 없이도 서버 발신 요청을 유도하는 경로가 성립할 수 있습니다. 여기에서 범위를 구분할 필요가 있습니다. 세부 페이로드 구조, 요청 검증 로직의 실패 지점, 내부망 스캔이나 클라우드 메타데이터 접근 같은 구체적 악용 시나리오는 전달된 근거에 명시되어 있지 않습니다. "SSRF 유형이라 일반적으로 가능하다"와 "이 취약점에서 입증된 범위"는 다른 문장이며, 이 글은 후자를 단정하지 않습니다.

공개 PoC·익스플로잇 분석

• 출처: 이 항목이 의존할 수 있는 공개 근거는 Plex 공식 보안 공지의 CVE-2026-96652 기재와 CISA KEV 카탈로그의 CVE-2026-96652 항목입니다. KEV는 알려진 악용 취약점을 모은 카탈로그이므로, 등재 사실 자체가 이 SSRF 결함에 대해 실제 악용이 알려진 사안임을 보여주는 근거입니다. 다만 전달된 근거에는 PoC 코드 전문이나 익스플로잇 코드를 실어 공개한 출처, 코드 공개 시점을 적시한 자료가 포함되어 있지 않아 코드 자체의 형태와 공개 시점은 이 글에서 설명하지 않습니다.
• 전제조건: 전달된 근거에서 확인되는 전제는 v1.43.2 및 이전 버전의 Plex Media Server에 player timeline 엔드포인트의 인증 없는 SSRF 결함이 존재한다는 수준까지입니다. Plex 공지는 이 결함을 인증이 필요 없는 엔드포인트 문제로 설명하므로, 악용 성립의 출발점은 영향 버전 여부와 해당 엔드포인트의 존재입니다. 결함이 있는 엔드포인트에 어떤 요청이 어떻게 도달해야 하는지에 대한 조건은 근거에 명시되어 있지 않습니다.
• 입증 범위: 근거로 입증된 것은 "v1.43.2 및 이전 버전의 player timeline 엔드포인트에 인증 없는 SSRF 결함이 있고, 실제 악용이 알려졌다"는 수준까지입니다. 악용에 사용된 요청 형식, 세부 페이로드, 공격 주체, 캠페인, 대량 자동화 여부, 내부 자원 도달 범위는 현재 근거로 확인할 수 없습니다.
• 운영 의미: 확인된 사실은 영향 버전의 인증 없는 SSRF 결함과 실제 악용이 알려졌다는 사실 두 가지입니다. 악용 상세와 지표가 근거에 없다는 것은 대응의 필요성이 불확실하다는 뜻이 아니라, 그 범위와 지표를 아직 확정할 수 없다는 뜻으로 읽어 줘야 합니다. 이 구분 위에서야 비로소 영향 버전 확인과 엔드포인트 도달 조건 확인이 앞 순서가 된다는 판단이 성립하며, 이 판단은 확인된 사실에서 도출한 조건부 권고입니다.

KEV 등재가 전하는 정보

• 등재의 의미: KEV는 알려진 악용 취약점 카탈로그이므로, 이 CVE에 대해서는 "악용 시도가 있을 수 있는가"가 아니라 이미 알려진 악용이 있다는 전제에서 자기 환경의 영향 버전 여부를 확인하는 사안입니다.
• 확인되지 않은 정보: KEV 등재에 따른 기관별 조치 기한 날짜, 공격 주체, 캠페인 정보, 침해 지표(IOC)는 현재 근거에 포함되어 있지 않습니다.

대응 방안

지금 확인 범위에 넣을 것

• 버전 확인: 운영 중인 Plex Media Server 버전을 확인합니다. 근거에서 확인되는 사실은 영향 범위가 v1.43.2 및 이전이라는 점과 CVE-2026-96652가 player timeline 엔드포인트의 인증 없는 SSRF로 설명된다는 점입니다. 업데이트로 해결된 정확한 수정 릴리스는 전달된 근거에 명시되어 있지 않아, 이 글은 특정 릴리스 적용을 지시하지 않습니다. 영향 버전으로 확인되면 점검 대상이 남아 있다는 사실이 확정되므로, 이후 조치는 배포 채널의 공식 안내를 별도로 확인해 확정해야 합니다.
• 엔드포인트 조건 확인: 이 취약점에서 근거가 확인하는 공격 경로는 player timeline 엔드포인트의 인증 없는 SSRF입니다. 따라서 자기 환경에서 확인할 항목은 영향 버전 여부와 해당 엔드포인트가 인증 없이 도달 가능한 상태로 서비스되는지의 두 가지로 한정됩니다. 어떤 네트워크 구성이나 원격 접속 경로가 이 취약점에 적절한지는 전달된 근거에서 확인되지 않으므로, 이 글은 구체적인 구성 변경을 권하지 않습니다.
• 침해 지표: 전달된 근거에는 침해 지표(IOC)도, 악용에 쓰인 요청의 상세도 포함되어 있지 않습니다. 따라서 이 글이 제시할 수 있는 탐지·확인 기준은 없으며, KEV 등재가 알려주는 것은 실제 악용이 알려진 사안이라는 수준으로만 해석합니다.

지속 운영 절차에 대해

장기적인 자산·노출 관리나 정기 취약점 점검 같은 운영 절차에 대한 지침은 전달된 근거에 포함되어 있지 않아 이 글에서 권고하지 않습니다. 이 CVE에 대해 자료로 확인되는 것은 영향 범위가 v1.43.2 및 이전 버전이라는 점과 취약 동작이 player timeline 엔드포인트의 인증 없는 SSRF라는 점뿐이며, 그 밖의 운영 판단은 각 환경의 정책과 배포 채널의 공식 안내를 통해 확정해야 합니다.

한계

• 업데이트로 해결된 정확한 수정 릴리스 번호는 전달된 근거에 명시되어 있지 않습니다. 영향 범위로 제시된 v1.43.2 및 이전 버전이라는 상한만 확인할 수 있습니다.
• SSRF의 구체적 악용 시나리오(내부망 스캔, 클라우드 메타데이터 접근 등)와 내부 자원 도달 범위는 근거에 없어 추정하지 않습니다.
• KEV 등재로 확인되는 실제 악용의 세부 내용, 침해 지표(IOC), 공격 캠페인 정보는 제공되지 않았습니다. PoC 코드나 익스플로잇 상세를 담은 출처도 근거에 포함되어 있지 않습니다.
• KEV 등재에 따른 기관별 조치 기한은 근거에 포함되어 있지 않습니다.
• CVE 원문 발췌에 나타나는 "5.2"라는 수치의 정확한 필드 의미는 단정하지 않습니다. CVE 레코드 전체 확인이 필요합니다.
• 제공된 근거는 완화·탐지·지속 운영 절차에 대한 지침을 뒷받침하지 않습니다. 이 글의 대응 문장은 위 두 가지 확인 사실의 범위 안에서만 해석해야 합니다.

이 글의 우선순위 제안은 Plex 공지가 설명하는 인증 없는 SSRF와 KEV 등재, 공지 제목이 제시하는 영향 버전에서 도출한 조건부 운영 권고입니다. 실제 네트워크 구성과 접근통제 상태에 따라 적용 순서는 달라질 수 있습니다.

참고자료

• CVE-2026-96652 Plex Media Server SSRF
• Important Security Update for Plex Media Server v1.43.2 and earlier
• CVE-2026-96652 Plex Media Server SSRF - KEV Catalog entry

함께 읽으면 좋은 글

• CVE-2026-88779: Citrix NetScaler 메모리 경계 취약점의 KEV 등재가 SAML 운영 환경에 주는 의미
• CVE-2026-96654: Plex Media Server 루프백 인터페이스 경유 내부 에이전트 기능 접근, 점검 기준은 1.43.3.10861 미만
• CVE-2026-96655: Plex Media Server SSRF와 관리자 토큰 유출 — KEV 등재로 본 점검 기준

본 콘텐츠는 AI 기술로 작성된 분석 리포트를 포함하고 있습니다. 내용 중 사실과 다르거나 보완이 필요한 정보를 발견하셨으면 댓글을 통해 의견을 부탁드립니다. 여러분의 피드백은 더 정확한 보안 정보 공유에 큰 도움이 됩니다.