CISA agrega seis fallas activamente explotadas de Plex, Siemens y SiteGuard

El lote incluye una cadena de cuatro vulnerabilidades en Plex Media Server apodada "Plex2Shell" que permitiría ejecución remota de código, y una falla en Siemens Software Center que atacantes están explotando junto con la técnica de ingeniería social ClickFix para instalar un troyano de acceso remoto.

Qué pasó

El 20 de octubre de 2026 CISA publicó la adición de seis vulnerabilidades a su catálogo KEV:

• CVE-2026-96652 y CVE-2026-96655 — Plex Media Server, Server-Side Request Forgery (SSRF).
• CVE-2026-96654 — Plex Media Server, neutralización incorrecta de esquemas de URI codificados en una página web.
• CVE-2026-96656 — Plex Media Server, control externo de nombre o ruta de archivo.
• CVE-2026-106931 — EG Secure Solutions SiteGuard Server Edition, inyección de comandos del sistema operativo.
• CVE-2026-110936 — falla en Siemens Software Center.

Dato, no evaluación: la inclusión en KEV certifica que CISA tiene evidencia de explotación activa para las seis. Esa es información que viene directamente de la fuente primaria y la tratamos como hecho.

Lo que no viene de CISA sino de cobertura secundaria de TheHackerNews es el detalle de cómo se explotan: las cuatro fallas de Plex se agrupan bajo el apodo "Plex2Shell", nombre que sugiere que las dos SSRF se encadenan con la falla de manejo de URI y la de control de ruta de archivo para alcanzar ejecución remota de código, no solo acceso a recursos internos. CISA no publicó el detalle técnico de la cadena, así que esto queda como la lectura de un medio especializado, no como hecho verificado por nosotros.

Sobre Siemens Software Center, un segundo artículo de TheHackerNews —publicado un día antes del aviso de CISA— describe atacantes usando ClickFix: una página falsa (a menudo simulando un CAPTCHA) que induce a la víctima a abrir el diálogo Ejecutar de Windows y pegar un comando que en realidad descarga y ejecuta un troyano de acceso remoto, aprovechando la falla de Software Center como parte de la cadena.

Sobre cuántas fuentes respaldan esto: la corroboración cruzada arroja 2 fuentes distintas (CISA y TheHackerNews) y solo 1 primaria. El umbral para afirmar un patrón sin reservas son dos primarias o tres fuentes cualesquiera. No lo alcanzamos. Por eso el hecho de la explotación activa lo afirmamos (viene de CISA, autoridad primaria sobre KEV), pero los detalles de la cadena "Plex2Shell" y del uso específico de ClickFix contra Siemens los presentamos como lo reportado por una fuente derivada, pendiente de una segunda confirmación independiente.

Por qué importa acá

No tenemos evidencia de una entidad chilena afectada ni de explotación reportada por ANCI para estas seis CVE, así que no forzamos una bajada local que no existe. Dicho eso, hay dos motivos concretos para que esto le importe a un equipo de TI en Chile:

Plex Media Server es software de consumo masivo que muchas pymes y usuarios domésticos exponen a internet (reenvío de puertos en el router) para acceder a su librería multimedia desde afuera. Evaluación, confianza media: es razonable asumir que existen instancias de Plex expuestas a internet en Chile dado el volumen global de instalaciones, pero no tenemos un conteo verificado; lo que sí es un hecho es que cualquier instancia accesible desde internet con una versión vulnerable es explotable hoy.

Siemens Software Center es una herramienta de distribución de software para el ecosistema de automatización industrial de Siemens, presente en operaciones mineras, energéticas y manufactureras — sectores con fuerte presencia en Chile. Evaluación, confianza media: no confirmamos instalaciones específicas en Chile, pero la combinación de un vector de ingeniería social de bajo costo (ClickFix no requiere explotar nada técnicamente complejo, solo que el usuario pegue un comando) con un entorno OT hace que el impacto potencial de una intrusión exitosa sea alto si llega a ocurrir.

SiteGuard Server Edition es un producto de EG Secure Solutions con despliegue históricamente concentrado en Japón; no tenemos señales de uso en Chile y no vale la pena forzar relevancia ahí — se incluye en esta pieza porque forma parte del mismo lote de CISA y porque la inyección de comandos del sistema operativo es un patrón de explotación trasladable a cualquier aplicación web expuesta.

Anatomía del ataque

Mapeo a marcos públicos, para que puedas cruzarlo con tu propia matriz de cobertura.

• T1190 — Las cuatro CVE de Plex y la de SiteGuard son explotables contra un servicio expuesto a internet sin interacción del usuario; es el vector de entrada principal del lote.
• T1204 — La explotación reportada de la falla de Siemens Software Center se apoya en ClickFix: la víctima ejecuta el comando malicioso ella misma tras ser inducida por una página falsa.
• T1059.001 — Las campañas ClickFix documentadas usan típicamente PowerShell o mshta.exe invocado desde el diálogo Ejecutar para descargar y correr el payload del RAT.
• T1083 — La CVE de Plex por control externo de ruta de archivo (CVE-2026-96656) es consistente con capacidad de leer o escribir fuera del directorio esperado, paso habitual antes de lograr ejecución de código.

title: Posible ejecucion ClickFix via Run dialog
id: 7e3c9a1f-2b5d-4c8e-9a6f-1d8b4e7c2f90
status: experimental
description: Detecta un patron habitual en campanas ClickFix donde explorer.exe (via dialogo Ejecutar) genera un proceso powershell/mshta/cmd con parametros de descarga y ejecucion ocultos. Vinculado a la explotacion reportada de CVE-2026-110936 (Siemens Software Center).
references:
    - https://thehackernews.com/2026/10/clickfix-attackers-exploit-siemens.html
author: Vantis
date: 2026-10-21
logsource:
    category: process_creation
    product: windows
detection:
    selection_parent:
        ParentImage|endswith: '\\explorer.exe'
    selection_child:
        Image|endswith:
            - '\\powershell.exe'
            - '\\pwsh.exe'
            - '\\mshta.exe'
            - '\\cmd.exe'
    selection_cli:
        CommandLine|contains:
            - 'IEX'
            - 'Invoke-Expression'
            - 'DownloadString'
            - 'mshta http'
            - 'curl.exe'
            - '-w hidden'
            - '-windowstyle hidden'
    condition: selection_parent and selection_child and selection_cli
falsepositives:
    - Scripts administrativos legitimos lanzados manualmente desde el dialogo Ejecutar
    - Instaladores de software que invocan powershell oculto por diseno
level: medium

DeviceProcessEvents
| where InitiatingProcessFileName =~ "explorer.exe"
| where FileName in~ ("powershell.exe","pwsh.exe","mshta.exe","cmd.exe")
| where ProcessCommandLine has_any ("IEX","Invoke-Expression","DownloadString","mshta http","curl.exe","-w hidden","-windowstyle hidden")
| project Timestamp, DeviceName, AccountName, InitiatingProcessFileName, FileName, ProcessCommandLine

index=sysmon OR index=endpoint EventCode=1 ParentImage="*\\explorer.exe" (Image="*\\powershell.exe" OR Image="*\\mshta.exe" OR Image="*\\cmd.exe") (CommandLine="*IEX*" OR CommandLine="*DownloadString*" OR CommandLine="*mshta http*" OR CommandLine="*-w hidden*" OR CommandLine="*-windowstyle hidden*")
| table _time, host, User, ParentImage, Image, CommandLine

title: Trafico saliente sospechoso desde host Plex hacia metadata o red interna
id: a4d7f2c8-9e1b-4f6a-8c3d-5b7e9a0f2d41
status: experimental
description: Busca solicitudes salientes desde un host etiquetado como servidor Plex Media Server hacia direcciones de metadata en la nube o rangos RFC1918 no esperados, consistente con explotacion de las SSRF CVE-2026-96652 / CVE-2026-96655.
references:
    - https://www.cisa.gov/news-events/alerts/2026/10/20/cisa-adds-six-known-exploited-vulnerabilities-catalog
author: Vantis
date: 2026-10-21
logsource:
    category: proxy
    product: generic
detection:
    selection:
        c-uri|contains: '169.254.169.254'
    condition: selection
falsepositives:
    - Aplicaciones nativas de nube legitimas corriendo en el mismo host que consultan su propio endpoint de metadata
level: medium

<rule id="100910" level="10">
  <if_sid>31108</if_sid>
  <field name="dst_ip">169.254.169.254</field>
  <description>Posible SSRF: host etiquetado como servidor Plex consultando endpoint de metadata en la nube</description>
  <mitre>
    <id>T1190</id>
  </mitre>
</rule>

Fuentes

• CISACISA Adds Six Known Exploited Vulnerabilities to Catalog · 2026-10-20
• TheHackerNewsCISA Orders Federal Agencies to Patch Exploited Plex2Shell, Siemens, and SiteGuard Flaws · 2026-10-21
• TheHackerNewsClickFix Attackers Exploit Siemens Software Center Flaw to Deploy Remote Access Trojan · 2026-10-20

Relacionado