【漏洞预警】Plex 爆高危漏洞，未登录链路可拼出远程代码执行（CVE-2026-96652）

发布日期： 2026 年 11 月 3 日
风险等级： 高危（High）；CISA KEV 在野利用
漏洞编号： CVE-2026-96652 · CVE-2026-96654 · CVE-2026-96655 · CVE-2026-96656
涉及镜像： plexinc/pms-docker — 轩辕镜像 · Docker Hub · linuxserver/plex — 轩辕镜像 · Docker Hub
CVSS： CVE-2026-96656 的 NVD 为 7.2（High），CVSS 4.0 为 8.6。官方按组合利用说明远程代码执行
披露时间： 官方安全更新已发；CVE-2026-96652、CVE-2026-96655 的 CISA KEV 补丁期限为 2026 年 11 月 3 日
相关公告： Plex 安全更新说明

---

一、漏洞概述

Plex Media Server 1.43.2 及更早有一组可链式利用的问题：

官方说明：四者组合可以在 PMS 进程权限下远程执行代码。CISA 已列入 KEV，存在在野利用。CVE-2026-96652 与 CVE-2026-96655 的补丁期限是今天。

修复从 1.43.3.10861 起。

---

二、漏洞状态

统计截止： 2026 年 11 月 3 日（UTC+8）

---

三、影响范围

公网或局域网能访问到 PMS 默认端口 32400 的实例。打开了 Remote Access 或做了端口转发的，暴露面更大。

---

四、修复建议

升到 1.43.3.10861 或更高。官方镜像请固定当前的 1.43.6.11085-d1e52e169。linuxserver 请固定 1.43.5.11079-b3b13e506-ls331。不要写 latest 或 public。

bash
docker pull docker.xuanyuan.run/plexinc/pms-docker:1.43.6.11085-d1e52e169

bash
docker pull docker.xuanyuan.run/linuxserver/plex:1.43.5.11079-b3b13e506-ls331

使用 public / beta 浮动标签的，必须重新 pull 并确认版本已经不低于 1.43.3.10861，不要只重启旧容器。linuxserver 默认 VERSION=docker 的，同样要 pull 新镜像后重建。

Docker Hub： plexinc/pms-docker · linuxserver/plex

轩辕镜像： plexinc/pms-docker · linuxserver/plex

---

五、临时缓解措施

在升级之前，关掉 Remote Access 和端口转发，不要把 32400 继续暴露到不可信网络。已经怀疑被利用的实例，按主机失守处理，检查 Codecs 目录和异常进程。这不能代替 1.43.3.10861 及以上。

---

六、与轩辕镜像用户的相关说明

轩辕镜像提供的是镜像加速与拉取服务，不替代 Plex 的版本修复。加速拉取 latest 或 public 不会锁定在上面的修复标签。基于更旧标签二次构建的，要改基础标签后重新构建。

配置与排错见 轩辕镜像使用手册、镜像拉取 FAQ。

---

七、参考链接

• Plex：安全更新说明
• NVD：CVE-2026-96652 · CVE-2026-96654 · CVE-2026-96655 · CVE-2026-96656
• Docker Hub：plexinc/pms-docker · linuxserver/plex
• 轩辕站内镜像页：plexinc/pms-docker · linuxserver/plex

阅读原文

• 轩辕镜像官方博客

---

轩辕镜像安全团队
2026 年 11 月 3 日