Angreifer haben die öffentlich veröffentlichte Exploit-Kette „Plex2Shell“ gegen einen aus dem Internet erreichbaren Plex-Media-Server-Honeypot eingesetzt. Dabei installierten sie einen auf XMRig basierenden Kryptowährungs-Miner und eine Proxy-Software namens „myawesomeproxy“.
Die erste Ausnutzung wurde laut dem Forscher, der den Honeypot betreibt, am Morgen des 17. Oktober registriert. Das war einen Tag, nachdem ein anderer Forscher am 16. Oktober technische Details und Proof-of-Concept-Code veröffentlicht hatte. Die Beobachtung stammt von einem einzelnen Köderserver und lässt keinen Rückschluss auf das gesamte Ausmaß der Ausnutzung zu.
Plex2Shell kombiniert vier Schwachstellen in Plex Media Server: CVE-2026-96652, CVE-2026-96654, CVE-2026-96655 und CVE-2026-96656. Laut den NVD-Beschreibungen sind Plex-Media-Server-Versionen vor 1.43.3.10861 verwundbar.
Die Ausnutzung folgte dem öffentlichen Proof of Concept
Die Schwachstellen wurden Plex am 27. Juli gemeldet. Plex bestätigte sie und zahlte am 4. August eine Bug-Bounty-Prämie aus, wie die veröffentlichte Darstellung der Schwachstellenkette und der anschließenden Angriffe berichtet.
Am 1. September kündigte Plex an, dass Korrekturen ausgeliefert worden seien, und riet Serverbetreibern, die neueste Version zu installieren. Die technische Beschreibung und der Proof-of-Concept-Exploit wurden am 16. Oktober öffentlich.
Vor dem 17. Oktober hatte der Honeypot vor allem Aufklärungsverkehr und allgemeine Angriffe erhalten. Der Forscher sagte, die erste Plex2Shell-Ausnutzung sei am folgenden Morgen eingegangen und scheine den öffentlichen Exploit verwendet zu haben, möglicherweise mit Änderungen.
Die Angreifer installierten einen auf XMRig basierenden Miner. Später am 17. Oktober erhielt der Honeypot ein zweites Programm, „myawesomeproxy“. Der Forscher beschrieb es als Proxy-Software. Ihre Oberfläche warnt Betreiber, dass ihr Internetanschluss dadurch möglicherweise Datenverkehr Dritter weiterleiten könnte.
Die Vermutung, kompromittierte Plex-Systeme könnten als Residential Proxies dienen, um Unternehmens-VPNs oder E-Mail-Dienste zu erreichen, ist die Einschätzung des Forschers und keine Aktivität, die über den Honeypot beobachtet wurde.
Wie die vier Schwachstellen das Risiko beeinflussen
Der Bericht beschreibt Plex2Shell als Kette, mit der sich beliebiger Code mit den Rechten des Plex-Dienstes ausführen lässt. Die verfügbaren CVE-Daten weisen den einzelnen Schwachstellen jedoch unterschiedliche Zugriffsvoraussetzungen zu und dokumentieren nicht, wie die vollständige Kette zwischen diesen Voraussetzungen wechselt.
| Schwachstelle | Technische Auswirkung | CVSS v3 |
|---|---|---|
| CVE-2026-96652 | Server-Side Request Forgery über /player/timeline. Es kann ein beliebiger X-Plex-Token-Wert übergeben werden, während eine vollständige URL in protocol bewirkt, dass Plex eine POST-Anfrage an ein ausgewähltes Ziel sendet. |
4.3 |
| CVE-2026-96654 | Unzureichende Behandlung von URL-Werten in searchOne, wodurch Aufrufe von Funktionen anderer Plugins mit vom Angreifer kontrollierten Parametern möglich sind. Die NVD bewertet diese Schwachstelle so, dass keine Berechtigungen erforderlich sind. |
6.5 |
| CVE-2026-96655 | Ein authentifizierter Benutzer kann über den Pfadparameter /video/:/transcode/universal Anfragen an beliebige interne oder externe Adressen senden. |
4.3 |
| CVE-2026-96656 | Ein Administrator kann Dateien schreiben, die beim Laden möglicherweise ausgeführt werden. TranscoderH264Options wird bei jeder Transkodierung direkt in die x264-Optionen eingefügt, während .so-Dateien beim Start ohne Prüfung von Signatur, Ausführungsbit oder Symbolen ausgeführt werden. |
7.2 |
CVE-2026-96656 hat unter den vieren den höchsten Schweregrad und wird für sich betrachtet als Schwachstelle eingestuft, die hohe Berechtigungen erfordert. CVE-2026-96654 hingegen hat einen Vektor, der keine Berechtigungen voraussetzt. Ohne die vollständige technische Abfolge der Kette sollten die Zugriffsbedingungen einer einzelnen Komponente nicht als Voraussetzungen für den gesamten Exploit betrachtet werden.
Betreiber von Plex-Servern sollten aktualisieren und auf Payloads prüfen
Administratoren, die Plex-Media-Server-Versionen vor 1.43.3.10861 betreiben, sollten auf die neueste verfügbare Version aktualisieren. Plex erklärte, dass Korrekturen bereits bis zum 1. September verteilt worden seien, also vor der Veröffentlichung des Proof of Concept und vor den vom Honeypot registrierten Aktivitäten.
Betreiber exponierter Server sollten sie außerdem auf unerwartete Mining- oder Proxy-Prozesse prüfen, insbesondere auf Artefakte, die mit XMRig oder „myawesomeproxy“ in Verbindung stehen. Der Forscher hinter dem Honeypot hat Indikatoren für eine Kompromittierung der dort beobachteten Aktivität veröffentlicht. Diese Indikatoren beziehen sich jedoch auf diesen konkreten Datensatz und nicht auf jede mögliche Nutzung von Plex2Shell.
