Degli attaccanti hanno usato la catena di exploit «Plex2Shell», rilasciata pubblicamente, contro un honeypot di Plex Media Server esposto su internet. Hanno installato un miner di criptovalute basato su XMRig e un software proxy chiamato «myawesomeproxy».
Il primo sfruttamento è stato registrato la mattina del 17 ottobre, secondo il ricercatore che gestisce l'honeypot. Era accaduto un giorno dopo che un altro ricercatore, il 16 ottobre, aveva pubblicato dettagli tecnici e codice proof-of-concept. L'osservazione riguarda un unico server esca e non permette di stabilire la portata complessiva dello sfruttamento.
Plex2Shell combina quattro vulnerabilità in Plex Media Server: CVE-2026-96652, CVE-2026-96654, CVE-2026-96655 e CVE-2026-96656. Le descrizioni NVD indicano come vulnerabili le versioni di Plex Media Server precedenti alla 1.43.3.10861.
Lo sfruttamento ha seguito il proof of concept pubblico
Le falle sono state segnalate a Plex il 27 luglio. Plex le ha confermate e il 4 agosto ha assegnato un bug bounty, secondo il resoconto pubblicato sulla catena di vulnerabilità e sugli attacchi successivi.
Il 1° settembre Plex ha annunciato che le correzioni erano state rilasciate e ha consigliato agli amministratori dei server di installare la versione più recente. L'analisi tecnica e l'exploit proof-of-concept sono diventati pubblici il 16 ottobre.
Prima del 17 ottobre, l'honeypot aveva ricevuto soprattutto traffico di ricognizione e attacchi generici. Il ricercatore ha detto che il primo sfruttamento di Plex2Shell è arrivato la mattina successiva e sembrava usare l'exploit pubblico, eventualmente con modifiche.
Gli attaccanti hanno installato un miner di criptovalute basato su XMRig. Più tardi, il 17 ottobre, l'honeypot ha ricevuto un secondo programma, «myawesomeproxy». Il ricercatore lo ha descritto come software proxy; la sua interfaccia avverte gli operatori che eseguirlo può consentire alla loro connessione internet di trasportare traffico di terzi.
L'ipotesi che i sistemi Plex compromessi potrebbero diventare proxy residenziali per raggiungere VPN aziendali o servizi di posta elettronica è una valutazione del ricercatore, non un'attività osservata tramite l'honeypot.
Come le quattro vulnerabilità incidono sul rischio
Il report descrive Plex2Shell come una catena in grado di eseguire codice arbitrario con i privilegi del servizio Plex. I dati CVE disponibili, però, assegnano requisiti di accesso diversi alle singole falle e non documentano come la catena completa passi da un requisito all'altro.
| Vulnerabilità | Effetto tecnico | CVSS v3 |
|---|---|---|
| CVE-2026-96652 | Server-side request forgery tramite /player/timeline. Può essere fornito qualsiasi valore di X-Plex-Token, mentre un URL completo in protocol fa sì che Plex invii una richiesta POST a una destinazione scelta. |
4.3 |
| CVE-2026-96654 | Gestione impropria dei valori URL in searchOne, che consente di chiamare funzioni esposte da altri plugin con parametri controllati dall'attaccante. NVD classifica questa falla come non richiedente privilegi. |
6.5 |
| CVE-2026-96655 | Un utente autenticato può effettuare richieste verso indirizzi interni o esterni arbitrari tramite il parametro di percorso /video/:/transcode/universal. |
4.3 |
| CVE-2026-96656 | Un amministratore può scrivere file che potrebbero essere eseguiti al caricamento. TranscoderH264Options viene inserito direttamente nelle opzioni x264 di ogni transcodifica, mentre i file .so vengono eseguiti all'avvio senza validazione della firma, del bit di esecuzione o dei simboli. |
7.2 |
CVE-2026-96656 ha il punteggio di gravità più alto dei quattro e, considerata da sola, richiede privilegi elevati. CVE-2026-96654, invece, ha un vettore che non richiede privilegi. Senza la sequenza tecnica completa della catena, le condizioni di accesso di un singolo componente non dovrebbero essere considerate i prerequisiti dell'exploit completo.
Gli operatori di server Plex dovrebbero aggiornare e cercare eventuali payload
Gli amministratori che usano versioni di Plex Media Server precedenti alla 1.43.3.10861 dovrebbero passare all'ultima versione disponibile. Plex ha dichiarato che le correzioni erano già state distribuite entro il 1° settembre, prima della pubblicazione del proof of concept e dell'attività registrata dall'honeypot.
Gli operatori di server esposti dovrebbero anche controllarli alla ricerca di processi di mining o proxy inattesi, in particolare gli artefatti associati a XMRig o a «myawesomeproxy». Il ricercatore che gestisce l'honeypot ha pubblicato gli indicatori di compromissione relativi all'attività osservata lì, ma tali indicatori riguardano quel set di dati specifico e non tutti i possibili usi di Plex2Shell.
