Atacantes han utilizado la cadena de exploits “Plex2Shell”, publicada abiertamente, contra un señuelo (honeypot) de Plex Media Server accesible desde internet. En el ataque instalaron un minero de criptomonedas basado en XMRig y un software proxy llamado “myawesomeproxy”.
Según el investigador que opera el señuelo, la primera explotación se registró la mañana del 17 de octubre. Esto ocurrió un día después de que otro investigador publicara detalles técnicos y código de prueba de concepto el 16 de octubre. La observación procede de un único servidor señuelo y no establece la magnitud real de la explotación.
Plex2Shell combina cuatro vulnerabilidades de Plex Media Server: CVE-2026-96652, CVE-2026-96654, CVE-2026-96655 y CVE-2026-96656. Las descripciones de la NVD identifican como vulnerables las versiones de Plex Media Server anteriores a 1.43.3.10861.
La explotación siguió a la prueba de concepto pública
Los fallos se notificaron a Plex el 27 de julio. Plex los confirmó y concedió una recompensa por errores el 4 de agosto, según la publicación sobre la cadena de vulnerabilidades y los ataques posteriores.
El 1 de septiembre, Plex anunció que las correcciones ya se habían publicado y recomendó a los operadores de servidores instalar la versión más reciente. El análisis técnico y el exploit de prueba de concepto se hicieron públicos el 16 de octubre.
Antes del 17 de octubre, el señuelo había recibido principalmente tráfico de reconocimiento y ataques genéricos. El investigador explicó que la primera explotación de Plex2Shell llegó a la mañana siguiente y parecía utilizar el exploit público, posiblemente con modificaciones.
Los atacantes desplegaron un minero de criptomonedas basado en XMRig. Más tarde, el 17 de octubre, el señuelo recibió un segundo programa, “myawesomeproxy”. El investigador lo describió como software proxy; su interfaz advierte a los operadores de que ejecutarlo podría permitir que su conexión a internet transmita tráfico de terceros.
La sugerencia de que los sistemas Plex comprometidos podrían convertirse en proxies residenciales para acceder a VPN corporativas o a servicios de correo electrónico es una valoración del investigador, no una actividad observada a través del señuelo.
Cómo encajan las cuatro vulnerabilidades en el riesgo
El informe describe Plex2Shell como una cadena capaz de ejecutar código arbitrario con los privilegios del servicio Plex. Sin embargo, los datos disponibles de CVE asignan requisitos de acceso distintos a cada fallo y no documentan cómo avanza la cadena completa entre esos requisitos.
| Vulnerabilidad | Efecto técnico | CVSS v3 |
|---|---|---|
| CVE-2026-96652 | Falsificación de solicitudes del lado del servidor (SSRF) a través de /player/timeline. Se puede proporcionar cualquier valor de X-Plex-Token, mientras que una URL completa en protocol hace que Plex envíe una solicitud POST a un destino elegido. |
4,3 |
| CVE-2026-96654 | Gestión incorrecta de valores de URL en searchOne, que permite llamar a funciones expuestas por otros plugins con parámetros controlados por el atacante. La NVD califica este fallo como uno que no requiere privilegios. |
6,5 |
| CVE-2026-96655 | Un usuario autenticado puede hacer solicitudes a direcciones internas o externas arbitrarias mediante el parámetro de ruta /video/:/transcode/universal. |
4,3 |
| CVE-2026-96656 | Un administrador puede escribir archivos que pueden ejecutarse al cargarse. TranscoderH264Options se inserta directamente en las opciones de x264 de cada transcodificación, mientras que los archivos .so se ejecutan al inicio sin validación de firma, de bit de ejecución ni de símbolos. |
7,2 |
CVE-2026-96656 tiene la puntuación de gravedad más alta de las cuatro y, considerada por separado, se califica como de requerir privilegios altos. CVE-2026-96654, en cambio, tiene un vector que no requiere privilegios. Sin la secuencia técnica completa de la cadena, no deben tomarse las condiciones de acceso de un componente como requisitos previos de la explotación completa.
Los operadores de servidores Plex deben actualizar y buscar cargas maliciosas
Los administradores que ejecuten versiones de Plex Media Server anteriores a 1.43.3.10861 deben actualizar a la versión más reciente disponible. Plex indicó que las correcciones ya se habían distribuido el 1 de septiembre, antes de la publicación de la prueba de concepto y de la actividad registrada en el señuelo.
Los operadores de servidores expuestos también deben revisarlos en busca de procesos de minería o de proxy inesperados, en particular artefactos asociados a XMRig o a “myawesomeproxy”. El investigador del señuelo publicó indicadores de compromiso de la actividad observada allí, pero estos se limitan a ese conjunto de datos concreto y no cubren todos los posibles usos de Plex2Shell.
