Des attaquants ont utilisé la chaîne d'exploitation « Plex2Shell », rendue publique, contre un honeypot de Plex Media Server accessible depuis Internet. Ils y ont installé un mineur de cryptomonnaie basé sur XMRig, ainsi qu'un logiciel de proxy appelé « myawesomeproxy ».
Selon le chercheur qui exploite le honeypot, la première exploitation a été enregistrée le matin du 17 octobre, soit un jour après la publication, le 16 octobre, des détails techniques et du code de preuve de concept par un autre chercheur. Cette observation provient d'un seul serveur leurre et ne permet pas d'établir l'ampleur réelle de l'exploitation.
Plex2Shell combine quatre vulnérabilités de Plex Media Server : CVE-2026-96652, CVE-2026-96654, CVE-2026-96655 et CVE-2026-96656. Les descriptions du NVD identifient comme vulnérables les versions de Plex Media Server antérieures à 1.43.3.10861.
L'exploitation a suivi la preuve de concept publique
Les failles ont été signalées à Plex le 27 juillet. Plex les a confirmées et a accordé une prime de bug bounty le 4 août, selon le compte rendu publié sur la chaîne de vulnérabilités et les attaques qui ont suivi.
Le 1er septembre, Plex a annoncé que les correctifs étaient disponibles et a recommandé aux opérateurs de serveurs d'installer la version la plus récente. Le compte rendu technique et l'exploit de preuve de concept ont été rendus publics le 16 octobre.
Avant le 17 octobre, le honeypot avait reçu principalement du trafic de reconnaissance et des attaques génériques. Le chercheur a indiqué que la première exploitation de Plex2Shell était arrivée le lendemain matin et semblait utiliser l'exploit public, éventuellement avec des modifications.
Les attaquants ont déployé un mineur de cryptomonnaie basé sur XMRig. Plus tard, le 17 octobre, le honeypot a reçu un second programme, « myawesomeproxy ». Le chercheur le décrit comme un logiciel de proxy. Son interface avertit les opérateurs que son exécution peut permettre à leur connexion Internet de faire transiter du trafic de tiers.
L'hypothèse selon laquelle des systèmes Plex compromis pourraient servir de proxys résidentiels pour atteindre des VPN d'entreprise ou des services de messagerie relève de l'évaluation du chercheur et non d'une activité observée sur le honeypot.
Place des quatre vulnérabilités dans l'évaluation du risque
Le rapport décrit Plex2Shell comme une chaîne capable d'exécuter du code arbitraire avec les privilèges du service Plex. Les données CVE disponibles attribuent toutefois des exigences d'accès différentes à chacune des failles et ne documentent pas la manière dont la chaîne complète passe d'une exigence à l'autre.
| Vulnérabilité | Effet technique | CVSS v3 |
|---|---|---|
| CVE-2026-96652 | Falsification de requête côté serveur (SSRF) via /player/timeline. N'importe quelle valeur de X-Plex-Token peut être fournie, et une URL complète dans protocol amène Plex à envoyer une requête POST vers une destination choisie. |
4,3 |
| CVE-2026-96654 | Traitement incorrect des valeurs d'URL dans searchOne, permettant d'appeler des fonctions exposées par d'autres plugins avec des paramètres contrôlés par l'attaquant. Le NVD considère que cette faille ne nécessite aucun privilège. |
6,5 |
| CVE-2026-96655 | Un utilisateur authentifié peut envoyer des requêtes vers des adresses internes ou externes arbitraires via le paramètre de chemin /video/:/transcode/universal. |
4,3 |
| CVE-2026-96656 | Un administrateur peut écrire des fichiers susceptibles de s'exécuter lors de leur chargement. TranscoderH264Options est inséré directement dans les options x264 de chaque transcodage, tandis que les fichiers .so s'exécutent au démarrage sans vérification de signature, du bit d'exécution ni des symboles. |
7,2 |
CVE-2026-96656 affiche le score de gravité le plus élevé des quatre et exige des privilèges élevés lorsqu'elle est considérée isolément. CVE-2026-96654, en revanche, ne requiert aucun privilège dans son vecteur. Tant que la séquence technique complète de la chaîne n'est pas connue, les conditions d'accès d'un composant ne doivent pas être considérées comme des prérequis de l'exploit complet.
Les administrateurs de serveurs Plex doivent mettre à jour leurs installations et rechercher des charges utiles
Les administrateurs qui utilisent des versions de Plex Media Server antérieures à 1.43.3.10861 doivent passer à la dernière version disponible. Plex indiquait que les correctifs étaient déjà distribués dès le 1er septembre, soit avant la publication de la preuve de concept et avant l'activité enregistrée par le honeypot.
Les opérateurs de serveurs exposés doivent aussi les inspecter à la recherche de processus de minage ou de proxy inattendus, en particulier des artefacts associés à XMRig ou à « myawesomeproxy ». Le chercheur a publié des indicateurs de compromission pour l'activité observée sur ce honeypot, mais ceux-ci ne couvrent que ce jeu de données précis et non toutes les utilisations possibles de Plex2Shell.
