En bref

  • Le 20 octobre 2026, la CISA a ajouté 6 CVE à son catalogue KEV, dont la chaîne Plex2Shell (4 CVE), le DLL sideloading Siemens CVE-2026-110936 et l'injection de commande SiteGuard CVE-2026-106931.
  • Systèmes affectés : Plex Media Server (toutes versions récentes), Siemens Software Center antérieur à 4.0.9.8, SiteGuard WAF toutes versions non patchées.
  • Action requise : appliquer immédiatement les correctifs disponibles ; délai fédéral US fixé au 3 novembre 2026.

Les faits

Le 20 octobre 2026, la Cybersecurity and Infrastructure Security Agency (CISA) a mis à jour son catalogue Known Exploited Vulnerabilities (KEV) en y inscrivant six nouvelles entrées correspondant à des vulnérabilités faisant l'objet d'une exploitation active et confirmée dans des environnements réels. Parmi celles-ci, la chaîne baptisée Plex2Shell retient particulièrement l'attention de la communauté cyber : elle repose sur quatre vulnérabilités distinctes dans Plex Media Server, que des attaquants combinent de manière séquentielle pour aboutir à une exécution de code à distance non authentifiée (unauthenticated RCE).

La chaîne Plex2Shell a été identifiée en premier lieu par des chercheurs en sécurité le 18 octobre 2026 — deux jours avant son inscription au KEV. D'après Dark Web Intelligence, les quatre CVE composant Plex2Shell n'étaient pas encore référencées dans le catalogue lorsque l'alerte initiale a été publiée. La CISA a agi rapidement après confirmation de l'exploitation active. Selon les données disponibles, des acteurs malveillants exploitent la chaîne Plex2Shell pour installer des mineurs de cryptomonnaie et des logiciels proxy sur les systèmes exposés sur Internet, transformant les serveurs Plex en ressources de calcul détournées.

Le mode opératoire de Plex2Shell commence par un accès non authentifié à l'API de Plex Media Server, suivi d'une élévation de privilèges via une seconde vulnérabilité, avant d'aboutir à l'injection de commandes système. Les chercheurs d'Aviatrix indiquent que l'exploitation est principalement associée à des campagnes de cryptojacking, mais la nature RCE complète de la chaîne laisse la porte ouverte à des usages bien plus sévères : déploiement de ransomware, pivotement latéral, installation de backdoors persistants. La plateforme CISA impose aux agences fédérales américaines un délai de remédiation au 3 novembre 2026.

La deuxième vulnérabilité notable inscrite au KEV le 20 octobre concerne Siemens Software Center, l'application de gestion des licences et des mises à jour utilisée par les clients industriels Siemens. La faille CVE-2026-110936, notée CVSS 8.4, est un DLL sideloading qui permet à un attaquant local ou à un code malveillant prépositionné d'injecter une bibliothèque dynamique (.dll) arbitraire dans le processus Siemens Software Center. D'après Rescana et Heise Security, Siemens a confirmé l'exploitation active de cette vulnérabilité via une technique dite ClickFix, en s'appuyant sur une plateforme d'attaque nommée Romulus. Le ClickFix consiste à tromper l'utilisateur pour lui faire exécuter une commande malveillante dans un faux dialogue de correction d'erreur, un vecteur de plus en plus répandu depuis mi-2025.

Le correctif pour CVE-2026-110936 est disponible : Siemens Software Center V4.0.9.8 s'installe automatiquement au prochain démarrage de l'application. Siemens recommande toutefois de ne pas différer le redémarrage. Les organisations utilisant Siemens dans des environnements OT (Operational Technology) ou ICS doivent prêter une attention particulière à ce patch, car les systèmes industriels ne bénéficient pas toujours d'une mise à jour automatique et peuvent rester exposés pendant de longues périodes.

La troisième famille de vulnérabilités inscrites au KEV concerne SiteGuard, un pare-feu applicatif web (WAF) édité par EG Security, populaire notamment dans les contextes serveurs web japonais et asiatiques. CVE-2026-106931 est une injection de commande (command injection) dans SiteGuard qui permet, dans les conditions d'exploitation confirmées, l'exécution de code arbitraire sur le serveur hébergeant le WAF. Cette ironie — un outil de protection web devenant lui-même un vecteur d'attaque — illustre parfaitement la réalité des surfaces d'attaque modernes : chaque composant logiciel, même défensif, peut devenir un point d'entrée.

Au total, le KEV comptait, au 23 octobre 2026, treize nouvelles inscriptions pour le seul mois d'octobre, selon les données de Senserva. Ce rythme soutenu reflète l'intensification de l'activité d'exploitation dans un contexte où les délais entre la publication d'un CVE et son utilisation en attaque ne cessent de se réduire : selon le rapport Rapid7 de septembre 2026, le délai médian d'exploitation des vulnérabilités critiques est passé sous les 5 jours en 2026, contre 12 jours en 2024. Pour les organisations sans processus de gestion des vulnérabilités structuré, cette accélération rend le patch management réactif quasiment inopérant.

Les RSSI et administrateurs systèmes doivent impérativement intégrer le flux KEV de la CISA dans leur processus de priorisation des patchs, indépendamment du périmètre géographique de leur organisation : si les délais imposés par la directive BOD 22-01 ne concernent formellement que les agences fédérales américaines, les vulnérabilités inscrites au KEV sont, par définition, exploitées activement et représentent une menace immédiate pour toute organisation exposée. La CISA publie son flux KEV au format JSON via son site officiel et via l'API du NVD/NIST.

Impact et exposition

Plex Media Server est utilisé par des millions d'utilisateurs dans le monde, dont une portion significative expose leur instance sur Internet pour accéder à leur médiathèque depuis l'extérieur. Les instances accessibles publiquement sont les premières cibles de la chaîne Plex2Shell. Pour Siemens Software Center, le périmètre est plus restreint mais l'impact potentiel plus sévère : il concerne les environnements industriels, les intégrateurs systèmes Siemens, et les opérateurs d'infrastructures critiques. Pour SiteGuard, la cible principale est constituée des hébergeurs web et des opérateurs de serveurs Apache/Nginx en Asie et en Europe.

Recommandations

  • Plex Media Server : appliquer immédiatement le correctif disponible via l'interface de mise à jour Plex. Désactiver l'accès externe si une mise à jour immédiate est impossible. Vérifier les journaux pour détecter des processus anormaux (mineurs, proxies).
  • Siemens Software Center : forcer un redémarrage de l'application pour déclencher la mise à jour automatique vers V4.0.9.8. Dans les environnements OT, planifier la mise à jour en maintenance contrôlée sans dépasser le 3 novembre 2026.
  • SiteGuard : consulter les notes de version du fournisseur et appliquer le patch CVE-2026-106931. Activer la journalisation complète en attendant la mise à jour.
  • Abonner l'équipe sécurité au flux KEV JSON de la CISA pour une visibilité en temps réel sur les nouvelles inscriptions.

Alerte critique

La chaîne Plex2Shell permet une exécution de code à distance sans authentification. Toute instance Plex Media Server exposée sur Internet doit être considérée comme compromise si elle n'a pas été patchée avant le 20 octobre 2026. Auditez vos processus en cours d'exécution et vos connexions réseau sortantes sans délai.

Comment savoir si mon instance Plex a été compromise via Plex2Shell ?

Vérifiez les processus enfants lancés par le service Plex (plex, plexmediaserver) : la présence de processus de type xmrig, cgminer, ou de connexions sortantes vers des ports 3333/4444/14444 (pools de minage) est un indicateur fort de compromission. Consultez également les logs d'accès API pour détecter des requêtes non authentifiées anormales dans les 10 derniers jours. Un audit forensique complet est recommandé avant de remettre l'instance en service après patch.

Votre infrastructure est-elle exposée ?

Ayi NEDJIMI réalise des audits de sécurité ciblés pour identifier et corriger vos vulnérabilités avant qu'elles ne soient exploitées.

Demander un audit