Plex Media Server의 서버 측 요청 위조(SSRF) 취약점 CVE-2026-96655가 미국 CISA의 알려진 악용 취약점(KEV) 카탈로그에 등재되었습니다. KEV 등재는 문서상의 잠재 위험이 아니라 실제 악용이 확인된 취약점이라는 분류 근거가 됩니다. 다만 세부 기술 자료는 아직 제한적이므로, 확인된 사실과 아직 확인되지 않은 것을 분리해 보는 것이 중요합니다.
개요
CISA의 KEV 카탈로그 기록에는 Plex Media Server에 서버 측 요청 위조(SSRF) 취약점이 존재하고, 인증된 사용자가 이를 악용할 수 있다는 내용이 기재되어 있습니다. SSRF(Server-Side Request Forgery)는 서버 스스로가 공격자가 지정한 대상을 향해 요청을 보내도록 만드는 결함 유형입니다.
Plex 공식 보안 공지는 CVE-2026-96655를 서버 소유자의 관리자 토큰(admin token) 유출과 연결된 항목으로 명시하고, v1.43.2 및 이전 버전을 대상으로 하는 중요 보안 업데이트를 함께 발표했습니다.
CVE 레코드는 CVE Project 공개 저장소에서 확인할 수 있습니다. 전달된 인용 범위는 CISA CNA(식별자 cisa-cg) 배정과 게시(PUBLISHED) 상태 등 메타데이터에 한정됩니다.
영향 범위
- Plex 공식 공지 기준 영향 범위는 Plex Media Server v1.43.2 및 이전 버전입니다.
- CVE 레코드 인용이 메타데이터 일부만 온전히 확인되어, 정확한 하위 버전 경계와 레코드 내 세부 서술은 이 글에서 확인하지 못했습니다. 버전 경계가 판단에 중요한 환경이라면 공식 자료를 다시 확인해야 합니다.
- 공격 전제 조건에 인증된 사용자가 포함됩니다(CISA KEV 기록). 이 조건을 일반적인 운영 환경에 대조해 보면, 여러 계정으로 Plex를 함께 이용해 온 환경은 인증이라는 진입 조건을 이미 충족하고 있을 수 있습니다. 이는 근거에 명시된 사실이 아니라 인증 필요 조건을 운영 환경에 적용한 조건부 판단입니다.
- 같은 보안 업데이트에는 CVE-2026-96656이라는 임의 파일 관련 취약점도 포함되어 있습니다. 다만 두 취약점을 결합해 더 큰 영향을 만든다는 시나리오는 제공된 근거에서 확인되지 않아 이 글에서는 다루지 않습니다.
- 현재 환경의 해당 여부를 판단하는 기준이 되는 확인 사실은 두 가지입니다. CISA KEV 등재로 실제 악용이 확인되었다는 점, 그리고 Plex 공지에 v1.43.2 및 이전 버전이 영향 범위로 명시되었다는 점입니다.
기술적 분석
제공된 근거가 이 취약점에 대해 확인하는 내용은 세 갈래입니다. CISA의 취약점 기록은 Plex Media Server에 SSRF 취약점이 존재하고 인증된 사용자가 악용할 수 있다는 점을 담고 있고, Plex 공식 공지는 그 결과가 서버 소유자의 관리자 토큰 유출이라는 점을 담고 있습니다. 요청 처리 경로의 코드 수준 결함 원인은 제공된 근거에 포함되어 있지 않습니다.
관리자 토큰 유출은 Plex 공식 공지가 명시한 사실입니다. 전달된 CVE 레코드 인용에는 식별자와 배정 기관, 게시 상태만 포함되어 있어, 토큰 유출 결과를 CVE 레코드가 별도로 뒷받침하는지는 확인하지 않았습니다. 따라서 이 글의 토큰 관련 서술은 Plex 공지에만 귀속합니다. 토큰을 획득한 이후에 어떤 관리 작업까지 가능한지에 대해서도 근거에 명시된 내용이 없어 추정 서술을 넣지 않았습니다. 확인해야 할 사실은 서버 소유자의 관리자 토큰이 유출될 수 있다는 문장 자체입니다.
KEV 등재는 이 취약점이 위험 설명 단계를 넘어 실제 악용(in-the-wild)이 확인된 것으로 분류된다는 근거가 됩니다. 등재 사실 외의 공격 시점, 공격 주체, 실제 침해 사례의 상세는 현재 근거로 확인할 수 없습니다.
현재 근거로 확인되지 않는 것
- 요청 처리 경로의 코드 수준 결함 원인과 상세한 공격 전제 조건
- 공개 PoC 또는 독립 기술 분석 자료. 조사했으나 발견되지 않았고, 존재하지 않는다고 단정할 수도 없습니다.
- 악용 시점, 공격자 정보, 실제 침해 사례의 상세
- CVE-2026-96656의 상세 기술 내용
- 업데이트의 정확한 목표 버전 번호, 그리고 구체적인 로그 시그니처·IOC·모니터링 지표
이 빈칸은 사안의 위험도가 낮다는 뜻이 아니라, 현재 시점에 확인할 수 있는 사실의 범위가 좁다는 뜻입니다.
대응 방안
버전과 업데이트 적용 여부 확인
- Plex는 v1.43.2 및 이전 버전을 대상으로 중요 보안 업데이트를 공지했습니다. 따라서 운영 중인 서버의 버전이 공지된 영향 범위에 해당하는지 확인하고, 해당한다면 안내된 보안 업데이트의 적용 여부를 점검하십시오.
- 제공된 근거에는 업데이트의 정확한 목표 버전 번호와 다운로드·변경 이력이 없어, 이 글은 특정 버전 번호를 지목하지 않습니다. 목표 버전은 Plex 공식 자료에서 확인해야 합니다.
- 제공된 근거는 위 공지 외에 별도의 완화 수단을 기술하고 있지 않습니다.
관리자 토큰 관련 확인
- Plex 공지가 관리자 토큰 유출 가능성을 명시하고 있으므로, 서버 소유자의 관리자 토큰 상태를 어떻게 확인하고 갱신·재발급할 수 있는지 공식 자료를 통해 확인할 필요가 있습니다. 그 정확한 공식 절차는 제공된 근거에 없어서 이 글은 단계별 안내를 제시하지 않습니다.
지속 운영
- 미디어 서버도 정기 점검 대상에 포함해 공지된 보안 업데이트가 적용된 상태를 유지하는 운영 절차가 필요합니다. v1.43.2 및 이전 버전이 영향 범위로 명시된 이상, 버전 확인과 업데이트 적용 여부가 관리의 핵심 확인 항목이 됩니다.
탐지 관점에서 밝히는 한계
- 제공된 자료에는 구체적인 로그 시그니처, IOC, 모니터링 지표가 포함되어 있지 않습니다. 이 글은 특정 탐지 규칙이나 점검 항목을 근거 없는 권고로 채우지 않았습니다.
- 탐지 기준이 필요한 경우 CVE 레코드나 CISA 등 원 출처에서 별도 근거를 확인한 뒤 정립해야 하며, 그 내용은 이 글의 범위를 넘습니다.
참고자료
- CVE-2026-96655 Plex Media Server arbitrary-host SSRF
- Important Security Update for Plex Media Server v1.43.2 and earlier
- Known Exploited Vulnerabilities Catalog — CVE-2026-96655 Plex Media Server SSRF
함께 읽으면 좋은 글
- CVE-2026-104935: Ivanti Connect Secure 스푸핑 인증 우회, KEV 등재로 확인되는 범위와 남은 공백
- CVE-2026-96656: Plex Media Server 임의 파일 쓰기, CISA KEV 등재로 본 점검 지점
- CVE-2026-105133: AhsayCBS 인증 우회 KEV 등재 점검
본 콘텐츠는 AI 기술로 작성된 분석 리포트를 포함하고 있습니다. 내용 중 사실과 다르거나 보완이 필요한 정보를 발견하셨으면 댓글을 통해 의견을 부탁드립니다. 여러분의 피드백은 더 정확한 보안 정보 공유에 큰 도움이 됩니다.
댓글 (0)
댓글을 작성하려면 로그인이 필요합니다.
로그인아직 댓글이 없습니다.
첫 번째 댓글을 작성해보세요!