"그냥 영화 보려고 띄운 서버인데요" — Plex Media Server CVE-2026-96656 파일 경로 조작 취약점, 홈서버 운영자용 정리

이미지 출처: CISA KEV

퇴근하고 소파에 앉아 TV로 Plex 앱을 켜면, 거실 구석 NAS나 미니PC에 모아둔 영화와 드라마 목록이 포스터와 함께 쭉 뜸. 처음 세팅할 때는 그 장면 하나 보려고 포트포워딩도 열고, 친구들한테 공유 계정도 뿌리고 했던 기억이 있음. 그런데 그렇게 편하게 쓰던 서버가 파일 이름이나 경로를 바깥에서 건드릴 수 있는 취약점을 안고 있었다면 얘기가 좀 달라짐. 이번 글은 NVD에 올라온 CVE-2026-96656, Plex Media Server의 External Control of File Name or Path 취약점을 홈서버 운영자 입장에서 정리해 본 메모임.

핵심 요약

• CVE-2026-96656은 Plex Media Server가 외부 입력값으로 파일 이름·경로를 결정하는 과정에서 검증이 부족해 생기는 취약점임(CWE-73 계열).
• 악용되면 서버 프로세스 권한으로 의도하지 않은 파일을 읽거나 덮어쓸 수 있어서, 설정 파일·인증 토큰 노출이나 후속 공격의 발판이 될 수 있음.
• 대응의 핵심은 최신 버전으로 업데이트하고, 외부 노출을 줄이고, 서버 실행 권한과 접근 가능한 디렉터리 범위를 좁히는 것임.

1. 이 취약점이 정확히 어떤 종류인지

"External Control of File Name or Path"는 이름만 보면 좀 추상적인데, 풀어 보면 단순함. 프로그램이 어떤 파일을 열거나 만들거나 지울 때 그 경로의 일부를 사용자가 보낸 값으로 채우는데, 그 값이 원래 허용된 폴더 안을 가리키는지 제대로 확인하지 않는 상황을 말함.

• 디렉터리 이동 문자열이나 절대경로가 섞여 들어와도 그대로 받아들임
• 심볼릭 링크나 인코딩이 꼬인 경로를 정규화하지 않고 씀
• "미디어 폴더 안의 파일"이라는 전제를 서버가 믿기만 하고 확인은 안 함

Plex처럼 썸네일 생성, 자막 파일 처리, 메타데이터 캐시, 트랜스코딩 임시 파일 같은 파일 입출력이 원래 엄청 많은 서비스는 이런 경로 처리 지점이 많을 수밖에 없음. 그만큼 한 군데만 검증이 빠져도 문제가 생기기 쉬운 구조인 것 같다.

2. 왜 홈서버라고 안심하면 안 되는지

"집에서 혼자 쓰는 건데 누가 노리겠어"라는 생각을 개인적으로도 오래 했음. 그런데 Plex는 원격 재생이 핵심 기능이라 인터넷에 그대로 노출된 인스턴스가 꽤 많음. 검색엔진형 스캐너로 기본 포트만 훑어봐도 수많은 서버가 잡히는 게 현실이고, 공격자 입장에서는 일일이 손으로 고를 필요 없이 자동화로 쓸어 담으면 됨.

• Plex 서버 설정 폴더에는 계정 연동 토큰 같은 민감한 값이 들어 있음
• NAS에서 돌리는 경우 같은 장비에 가족사진, 업무 문서, 백업 파일까지 같이 있는 경우가 많음
• 서버를 관리자 권한이나 root로 띄워 놨다면 영향 범위가 미디어 폴더 바깥, 시스템 전체로 넓어짐

실제로 예전에도 Plex 서버가 침해된 홈 환경이 기업 내부망 침투의 디딤돌로 쓰였다는 사례가 있었음. 재택근무하는 개발자 집에 있던 미디어 서버가 오랫동안 패치가 안 된 채 방치돼 있었고, 거기서 시작해서 회사 자격증명까지 넘어갔던 이야기라서 이 분야 사람들 사이에서는 꽤 유명함. 미디어 서버라고 가볍게 볼 게 아닌 이유임.

3. 공격 흐름은 개념 수준에서만

구체적인 요청 형태나 페이로드는 다루지 않고 흐름만 짚고 넘어감.

• 공격자가 경로나 파일 이름을 받는 Plex 기능에 조작된 값을 넣음
• 서버가 그 값을 검증 없이 실제 파일 경로로 조합함
• 결과적으로 허용된 라이브러리 폴더 바깥의 파일을 읽거나, 엉뚱한 위치에 파일이 쓰임
• 설정·토큰이 새어 나가면 계정 탈취로, 쓰기가 가능하면 실행 흐름 변조로 이어질 수 있음

인증이 필요한지, 어느 버전까지 영향받는지 같은 세부 조건은 벤더 공지와 NVD 항목을 기준으로 직접 확인하는 게 제일 정확함. 점수만 보고 판단하기보다는 "내 서버가 바깥에 열려 있나, 어떤 권한으로 돌고 있나"를 먼저 따져 보는 게 실제 위험도 판단에 더 도움이 됨.

4. 로그와 시스템에서 확인해 볼 것

탐지는 거창한 장비가 없어도 어느 정도 가능함. 개인적으로는 아래 순서로 보는 걸 추천함.

• Plex 서버 로그: 요청 파라미터에 상위 디렉터리 이동 패턴, 절대경로, 이상하게 인코딩된 문자열이 반복해서 찍히는지 확인
• 리버스 프록시·방화벽 로그: 평소 쓰지 않는 국가나 IP 대역에서 짧은 시간에 몰아치는 요청이 있는지 확인
• 파일 무결성: Plex 데이터 디렉터리와 미디어 폴더 바깥에 최근 수정된 낯선 파일이 생겼는지, 설정 파일 수정 시각이 내가 건드린 시점과 맞는지 확인
• 계정 활동: Plex 계정 페이지에서 모르는 기기나 세션이 붙어 있지 않은지 확인

이상한 흔적이 보이면 서버를 잠시 내리고, Plex 계정 비밀번호 변경과 함께 연결된 모든 기기에서 로그아웃시키는 것부터 하는 게 순서인 것 같다.

5. 오늘 바로 할 수 있는 완화 조치

• 업데이트가 1순위: Plex Media Server를 벤더가 수정한 버전 이상으로 올림. 자동 업데이트가 꺼져 있다면 이번 기회에 켜 두는 것도 방법임.
• 외부 노출 줄이기: 공유기 포트포워딩을 꼭 열어야 하는지 다시 생각해 봄. 가족끼리만 쓴다면 VPN이나 Tailscale 같은 사설 터널로 붙는 쪽이 훨씬 안전함.
• 실행 권한 낮추기: Plex를 root나 관리자 계정으로 돌리지 말고 전용 저권한 계정으로 실행함. 도커로 돌린다면 컨테이너에 마운트하는 볼륨을 미디어 폴더로만 좁힘.
• 미디어 폴더 읽기 전용: Plex가 쓸 필요가 없는 라이브러리는 읽기 전용으로 마운트해서 쓰기 경로를 아예 막아 둠.
• 민감 데이터 분리: 같은 NAS라도 백업·업무 문서는 Plex 계정이 접근할 수 없는 공유 폴더로 분리함.
• 공유 계정 정리: 오래전에 공유해 놓고 잊어버린 친구 계정들도 이번에 한 번 정리함.

이 중에서 업데이트랑 실행 권한 조정만 해도 위험이 꽤 줄어듦. 특히 권한 분리는 이번 CVE뿐만 아니라 앞으로 나올 비슷한 경로 조작 취약점까지 같이 막아 주는 효과가 있어서, 귀찮더라도 한 번은 해 두길 추천함.

마무리하며

미디어 서버는 한번 세팅해 두면 몇 년이고 손 안 대고 쓰게 되는 물건이라, 오히려 그래서 보안 측면에서는 사각지대가 되기 쉬운 것 같다. 나도 이번에 정리하면서 내 서버가 생각보다 높은 권한으로 돌고 있었다는 걸 알고 좀 뜨끔했음. 다들 이번 주말에 업데이트 버튼 한 번 누르고, 포트포워딩이랑 권한 설정도 같이 점검해 보아요! 본인 환경에서 써 본 구성이나 막혔던 부분이 있으면 댓글로 공유해 주세요.