ABD Siber Güvenlik ve Altyapı Güvenliği Ajansı (CISA), Plex Media Server'daki dört güvenlik açığının (CVE-2026-96652, CVE-2026-96654, CVE-2026-96655, CVE-2026-96656) birleştirilerek Plex2Shell adlı bir saldırı zinciri oluşturulduğunu ve bu zincirin aktif olarak istismar edildiğini bildirdi. Güvenlik araştırmacısı Zach Main tarafından keşfedilen ve Temmuz ayında Plex'e bildirilen bu açıklar, tek tek orta-yüksek şiddette olsa da birleştirildiğinde 9.8 puanlık kritik bir risk oluşturuyor; federal ajanslara 23 Ekim sonuna kadar yama veya azaltma önlemi alma talimatı verildi.