الأمن التقني

CISA تحذر من استغلال ثغرات Plex2Shell في خوادم الوسائط

كشفت وكالة الأمن السيبراني الأمريكية عن حملة هجمات نشطة تستهدف نظام Plex Media Server عبر سلسلة ثغرات معروفة باسم Plex2Shell.

رضوان عبدالهاديمحرر وكاتب تقني

نُشر: 22 أكتوبر 2026 · آخر تحديث: 22 أكتوبر 2026 · 5 دقائق قراءة

CISA تحذر من استغلال ثغرات Plex2Shell في خوادم الوسائط — الصورة: BleepingComputer

تحذير عاجل من CISA حول استغلال نشط

أصدرت وكالة الأمن السيبراني والبنية التحتية الأمريكية (CISA) تحذيراً أمنياً عاجلاً يؤكد أن المهاجمين يستغلون بنشاط أربع ثغرات أمنية موجودة في برنامج Plex Media Server. وتُعرف هذه الثغرات مجتمعاً باسم Plex2Shell، حيث تتيح للمهاجمين عند دمجها في سلسلة استغلال واحدة الحصول على رمز المالك الإداري (Admin Token) وتنفيذ أكواد خبيثة بامتيازات مرتفعة على الخادم.

ووفقاً لما نشرته BleepingComputer، فإن CISA وجهت الوكالات الفيدرالية الأمريكية إلى إعطاء الأولوية لإصلاح الأنظمة المتأثرة بهذه الثغرات أو تطبيق إجراءات تخفيفية عاجلة، مع تحديد موعد نهائي لهذا الإجراء في 23 أكتوبر 2026. ويأتي هذا التحذير في سياق تصاعد الهجمات الإلكترونية التي تستهدف أنظمة إدارة الوسائط الشخصية المعروفة بشعبيتها الواسعة.

تفاصيل الثغرات الأمنية الأربعة

تتكون سلسلة Plex2Shell من أربع ثغرات فردية تم تقييمها من حيث الخطورة بين المتوسطة والعالية، لكن الباحث الأمني الذي اكتشفها منح السلسلة الكاملة تصنيفاً حرجاً بدرجة 9.8 من 10. الثغرة الأولى (CVE-2026-96652) هي ثغرة SSRF في مسار /player/timeline، تتيح للمهاجمين غير الموثقين إجبار Plex على إرسال طلبات POST إلى وجهات عشوائية، بما في ذلك واجهات برمجية داخلية خاصة بالخادم نفسه.

الثغرة الثانية (CVE-2026-96654) تتعلق بحقن URL في دالة البحث searchOne، مما يسمح للمهاجمين باستدعاء وظائف إضافات أخرى (Plugins) باستخدام معاملات يتحكم بها المهاجم. أما الثغرة الثالثة (CVE-2026-96655) فهي ثغرة SSRF تتطلب المصادقة، وتوجد في نقطة النهاية الخاصة بتحويل الفيديو (Transcoder)، حيث تتيح للمستخدمين إجبار النظام على طلب عناوين داخلية أو خارجية عشوائية.

أما الثغرة الرابعة والأخطر في السلسلة (CVE-2026-96656) فهي ثغرة كتابة ملفات عشوائية في إعدادات تحويل الفيديو. هذه الثغرة تتيح للمديرين (أو المهاجمين الذين حصلوا على صلاحيات إدارية) زرع مكتبات مشتركة خبيثة (Malicious Shared Libraries) يقوم Plex بتحميلها لاحقاً، مما يؤدي إلى تنفيذ أكواد خبيثة على مستوى النظام.

الكشف عن الثغرات ونشر تفاصيل الاستغلال

اكتشف الباحث الأمني Zach Main هذه الثغرات وأبلغ شركة Plex عنها بشكل مسؤول في 27 يوليو الماضي. وبعد فترة من التحقق والإصلاح، نشر Zach Main التفاصيل التقنية الكاملة لثغرات Plex2Shell في 16 أكتوبر، متبوعاً بنشر نموذج استغلال (Proof-of-Concept) بعد ثلاثة أيام فقط. ونشر الباحث هذه التفاصيل على مدونته التقنية، مما ساعد المجتمع الأمني على فهم آلية عمل هذه السلسلة المعقدة.

تظهر التقارير أن هذه الثغرات تؤثر على إصدارات Plex Media Server الأقدم من الإصدار 1.43.3.10861، والذي تم إصداره في 4 أغسطس كإصلاح لهذه المشاكل. ويُنصح جميع المستخدمين بتحديث أنظمتهم فوراً إلى أحدث إصدار لتجنب المخاطر الأمنية المرتبطة بهذه الثغرات.

رصد استغلال فعلي في العالم الحقيقي

بدأت تقارير الاستغلال الفعلي (Exploited in the wild) لثغرات Plex2Shell بالظهور في 17 أكتوبر. تشير البيانات الأولية إلى أن المهاجمين استهدفوا أولاً خوادم العسل (Honeypots) الخاصة بـ Plex لنشر برامج تعدين العملات الرقمية (Cryptominers). هذا الاستغلال النشط يؤكد خطورة الثغرات وضرورة التصدي لها بسرعة قبل أن تتوسع الهجمات لتشمل خوادم حقيقية تحتوي على بيانات شخصية حساسة.

يُعد نظام Plex Media Server حزمة وسائط شائعة تساعد المستخدمين على تنظيم مجموعات شخصية من الأفلام والمسلسلات والموسيقى والصور، وبثها إلى أجهزة أخرى في المنزل أو عن بُعد عبر الإنترنت. نظراً لطبيعة البيانات المخزنة على هذه الخوادم، فإن اختراقها يمثل خطراً كبيراً على الخصوصية والأمن الرقمي للمستخدمين.

إضافات أخرى لقائمة الثغرات المستغلة

إلى جانب تحذير Plex2Shell، أضافت CISA ثغرة أخرى إلى كتالوج الثغرات المعروفة بالاستغلال (KEV). هذه الثغرة، المعروفة بـ CVE-2026-110936، هي ثغرة في عنصر مسار البحث غير المنضبط (Uncontrolled Search Path Element) في برنامج Siemens Software Center (SSC). وقد حذرت شركة سيمنز في 19 أكتوبر من أن المهاجمين يستغلون هذه الثغرة في حملات مرتبطة بمنصة توزيع حملات خبيثة متعددة الأحمال تُدعى Romulus.

أشارت شركة Forescout في أبحاثها إلى أن Romulus قد تكون لوحة تحكم خاصة، أو خدمة تجارية لتوزيع البرامج الخبيثة، أو إطار عمل تابع لشبكات إجرامية. ونصحت سيمنز المديرين بتحديث Siemens Software Center إلى الإصدار 4.0.9.8 أو أحدث، مع تقديم مؤشرات اختراق (IoCs) لمساعدة فرق الأمن على تحديد الأنظمة المتأثرة.

ثغرة إضافية في جدار حماية SiteGuard

أضافت CISA أيضاً ثغرة CVE-2026-106931 إلى قائمة KEV. هذه الثغرة هي ثغرة حقن أوامر نظام تشغيل (OS Command Injection) تؤثر على جدار حماية تطبيقات الويب (WAF) الخاص بـ SiteGuard Server Edition. وقد أكد كل من المورد وشركة CERT اليابانية أن هذه الثغرة تُستغل بنشاط منذ أواخر الأسبوع الماضي.

دعا المورد المستخدمين إلى الترقية إلى الإصدارات المحدثة من SiteGuard Server Edition، بما في ذلك الإصدار 8.00 Update 5 لأنظمة Apache httpd وNginx وIIS، والإصدار 7.00 Update 6 وما بعده لأنظمة FreeBSD. وتأتي هذه التحذيرات المتزامنة لتؤكد على ضرورة المراقبة المستمرة للثغرات الأمنية في البنية التحتية التقنية.