CISA heeft nieuwe kwetsbaarheden toegevoegd aan de Known Exploited Vulnerabilities (KEV)-catalogus. Voor organisaties betekent dit vooral één ding: patchen heeft prioriteit, omdat aanvallers de beveiligingsgaten al gebruiken in het wild. De grootste springer hierbij is Plex2Shell, een verzameling Plex Media Server-issues die volgens onderzoekers samen kunnen leiden tot ongeauthenticeerde remote code execution.
Daarnaast wijst CISA op misbruik rond Siemens Software Center (DLL sideloading) en op een command injection-kwetsbaarheid in EG Secure Solutions SiteGuard Server Edition. In dit artikel zetten we de belangrijkste punten en deadlines op een rij, zodat je snel kunt bepalen wat je vandaag nog moet aanpakken.
Wat betekent de KEV-lijst van CISA?
De KEV-catalogus is een lijst met kwetsbaarheden waarvan CISA vindt dat ze actief worden uitgebuit. Zodra een issue op KEV staat, wordt het voor overheidsinstanties (en sterk aanbevolen voor de rest) een duidelijk actiepunt: systemen en software moeten worden bijgewerkt of anders worden afgeschermd volgens de beschikbare mitigaties.
In dit geval gaat het om meerdere CVE’s, waaronder vier Plex Media Server-kwetsbaarheden die door beveiligers worden aangeduid als Plex2Shell.
Plex2Shell patch: welke Plex Media Server CVE’s spelen?
CISA voegt vier kwetsbaarheden toe die allemaal invloed hebben op Plex Media Server. Deze worden samen “Plex2Shell” genoemd. Volgens onderzoeker Zach Main konden aanvallers de vier kwetsbaarheden combineren tot een aanval met remote code execution zonder authenticatie.
De vier CVE’s en bijbehorende CVSS-waarden die CISA noemt:
- CVE-2026-96652 (CVSS 5.3) – Plex Media Server Server-Side Request Forgery (SSRF)
- CVE-2026-96654 (CVSS 6.9) – fout in het neutraliseren van gecodeerde URI-schemas binnen een webpagina
- CVE-2026-96655 (CVSS 5.3) – opnieuw SSRF
- CVE-2026-96656 (CVSS 8.6) – external control of file name or path
De problemen zijn verholpen in Plex Media Server 1.43.3.10861, uitgebracht op 3 augustus 2026. De kernboodschap voor beheerders is dus helder: als je nog niet op die versie draait, hoort de Plex2Shell patch op je prioriteitenlijst bovenaan.
Waarom is deze combinatie gevaarlijk?
Los van elkaar zijn de issues al reden om bij te werken, maar de onderzoekers geven aan dat aanvallen kunnen profiteren van de samenhang. Door de keten te “chainen” zouden aanvallers stappen kunnen doorlopen richting ongeauthenticeerde uitvoering van code op afstand.
Dat verklaart waarom CISA de varianten apart benoemt, maar als geheel toch als één belangrijk risico behandelt. Met andere woorden: je kunt niet volstaan met een deels gedekte mitigatie; je wilt de software-update doorvoeren.
Miners en proxy-malware: aanwijzingen voor misbruik in het wild
Naast het feit dat onderzoekers de aanvalstechniek hebben beschreven, is er volgens CISA ook een rapport van boredhackerblog. Die zou hebben gezien dat dreigingsactoren de kwetsbaarheden inzetten om cryptocurrency miners te plaatsen en proxy-malware te draaien.
Dat patroon zie je vaker bij gecompromitteerde edge-diensten en media-servers: aanvallers richten zich op systemen die internettoegang hebben en zetten ze in voor extra vervolgactiviteiten. Daarom is het belangrijk om niet alleen te updaten, maar ook te controleren of er al verdachte processen of netwerkverbindingen zijn ontstaan.
Siemens Software Center en ClickFix: DLL sideloading
CISA noemt ook een Siemens-issue die in verband wordt gebracht met ClickFix-aanvallen met een platform dat “Romulus” wordt genoemd. Het gaat om:
- CVE-2026-110936 (CVSS 8.4) – DLL sideloading in Siemens Software Center
Het kernrisico van DLL sideloading is dat een aanvaller de uitvoering kan beïnvloeden door een afhankelijkheid te manipuleren. Omdat de details over de specifieke exploitketen in de bron niet verder worden uitgewerkt, is de praktische actie: zorg dat je Siemens Software Center bijwerkt en verifieer dat je omgeving geen kwetsbare configuraties of uitvoerbare bestandslocaties heeft waar dit soort manipulatie kan plaatsvinden.
SiteGuard command injection: EG Secure Solutions
Naast Plex en Siemens wijst CISA op een tweede actief misbruikte kwetsbaarheid. Het gaat om:
- CVE-2026-106931 (CVSS 8.5) – command injection in EG Secure Solutions SiteGuard Server Edition
De Japanse leverancier bevestigde dat de kwetsbaarheid wordt uitgebuit. In de aangeleverde informatie ontbreken verdere technische details over hoe de aanvallen precies verlopen, maar voor defenders is het effect gelijk: updaten of mitigeren is urgent.
Belangrijke CISA-deadlines voor patchen
CISA dringt er bij Federal Civilian Executive Branch-agencies op aan om reparaties op een specifiek tijdpad door te voeren. In de brontekst staan de volgende termijnen:
- Uiterlijk 23 oktober 2026: apply fixes voor CVE-2026-106931, CVE-2026-96656 en CVE-2026-96654
- Uiterlijk 3 november 2026: de overige genoemde issues
Ook als je organisatie geen FCEB-verantwoordelijkheid heeft, is dit een goede indicatie van waar CISA de grootste druk op zet. Voor veel organisaties is “zo snel mogelijk” realistischer dan de exacte datum — zeker omdat aanvallen al in omloop zijn.
Wat kun je nu praktisch doen? (checklist)
Gebruik deze stappen om de aanpak niet te laten verzanden in losse acties:
- Inventariseer welke systemen draaien op Plex Media Server, Siemens Software Center en SiteGuard Server Edition.
- Vergelijk versies en plan direct updates. Voor Plex geldt: target 1.43.3.10861.
- Controleer exposure: staan je media- of beheerinterfaces direct naar internet open, en zijn er compensating controls actief?
- Zoek naar indicaties van misbruik na patchen, bijvoorbeeld afwijkende processtarts, outbound verbindingen of verdachte services.
- Leg de bevindingen vast zodat je later kunt bewijzen dat je de KEV-items tijdig hebt aangepakt.
Als je parallel ook bezig bent met hoe je patch- en softwareketens structureel veiliger maakt, kan ons artikel over volwassen AI-software security als extra context nuttig zijn: AI-software security: focus op volwassenheid. (Ook al gaat het daar niet specifiek over Plex2Shell, het helpt bij het opzetten van een volwassen security-aanpak.)
Snelle conclusie
De updatebeweging van CISA is duidelijk: Plex2Shell patch moet prioriteit krijgen, omdat de Plex Media Server kwetsbaarheden volgens onderzoekers kunnen leiden tot ongeauthenticeerde remote code execution. Daarnaast staan Siemens Software Center (DLL sideloading) en SiteGuard (command injection) op de radar, met bevestigingen van misbruik.
De meest effectieve stap is updaten naar de opgeloste versies en tegelijkertijd controleren of er geen sporen van compromittering zijn. Wacht niet tot de formele deadlines; zodra KEV-misbruik speelt, is tempo een veiligheidsmaatregel op zichzelf.
Bron: https://thehackernews.com/2026/10/cisa-orders-federal-agencies-to-patch.html
