Plex meldete am 19. Oktober 2026 weit verbreitete Angriffe auf nicht aktualisierte Plex Media Server, die aus dem Internet erreichbar sind. In einem am selben Tag veröffentlichten Bericht schilderte Ars Technica außerdem, ein Forscher habe Scans gegen einen simulierten Plex-Server beobachtet, gefolgt von erfolgreichen Infektionen. Plex zufolge sind Server ab Version 1.43.3.10861 nicht von den vier Schwachstellen betroffen. NeoTeo hatte zuvor in einem Bericht über Plex’ Angriffswarnung den damaligen Patchstand eingeordnet.
Was der Plex2Shell-Honeypot beobachtete
Ars Technica berichtete, dass die Scans innerhalb eines Tages nach Einrichtung eines Honeypots begannen. Später wurden auf dem simulierten Server erfolgreiche Infektionen beobachtet. Als Schadsoftware nennt der Bericht einen Kryptominer und Software für Residential-Proxys. Solche Proxys leiten fremden Datenverkehr über den Internetanschluss des betroffenen Servers.
Wie die Plex2Shell-Schwachstellen zusammenwirken
Plex führt in seinem am 19. Oktober aktualisierten Sicherheitshinweis vier Schwachstellen auf: CVE-2026-96652, CVE-2026-96654, CVE-2026-96655 und CVE-2026-96656. Zusammengenommen ermöglichen sie laut Plex unauthentifizierte Codeausführung mit den Rechten des Plex-Media-Server-Prozesses.
Die Kette umfasst eine serverseitige Anfragefälschung (SSRF), bei der sich ein Server zu Anfragen an interne Dienste verleiten lässt, den Zugriff auf interne Funktionen, die Offenlegung des Admin-Tokens des Serverbesitzers und das Schreiben von Dateien in den Codecs-Ordner über Transcoder-Einstellungen.
Der Sicherheitsforscher, der die Kette Plex2Shell nannte, gab an, die Schwachstellen am 27. Juli 2026 an Plex gemeldet zu haben. Plex habe am 4. August geantwortet und eine Prämie gezahlt. Die vier CVEs seien am 23. September zugeteilt und die Kette am 16. Oktober öffentlich gemacht worden.
Welche Updates Plex empfiehlt
Plex fordert Serverbetreiber auf, Plex Media Server auf Version 1.43.3.10861 oder neuer zu aktualisieren. Laut dem aktualisierten Sicherheitshinweis sind Server ab diesem Stand von den vier Schwachstellen nicht betroffen. In seinem ursprünglichen Hinweis vom 1. September 2026 nannte Plex außerdem Plex Desktop 1.115.0 als empfohlene Version.
Bei NAS-Geräten kann das aktualisierte Paket laut Plex noch nicht im Paketmanager erscheinen. Plex rät in diesem Fall, das passende Paket herunterzuladen und die Installationsanleitung des NAS-Herstellers zu befolgen. Die genauen Hinweise stehen in Plex’ Sicherheitshinweis.
Plex rät Betreibern älterer, aus dem Internet erreichbarer Server, von einer möglichen Kompromittierung auszugehen. Als Anzeichen nennt das Unternehmen unbekannte Prozesse, die Plex Media Server gestartet hat, darunter myawesomeproxy, mylovelyminer und x12345; unbekannte .so- oder .dll-Dateien im Ordner Codecs; Verbindungen zu proxystream.st sowie anhaltend hohe CPU-Auslastung, obwohl nichts wiedergegeben wird.
Wenn eines dieser Anzeichen auftritt oder sich eine Kompromittierung nicht ausschließen lässt, empfiehlt Plex eine saubere Neuinstallation, ohne das bisherige Plex-Datenverzeichnis weiterzuverwenden. Mindestens sollten Betreiber den Inhalt des Codecs-Ordners löschen und in Preferences.xml nach Transcoder-Einstellungen suchen, die sie nicht selbst vorgenommen haben. Plex empfiehlt außerdem, alle Geräte vom Konto abzumelden und das Passwort zu ändern. Daten, auf die das Plex-Dienstkonto zugreifen konnte, etwa eingebundene Freigaben und lokal gespeicherte Zugangsdaten, seien möglicherweise ebenfalls offengelegt.
Für den Fernzugriff rät Plex, ihn abzuschalten, wenn er nicht benötigt wird, und Port 32400 nicht direkt weiterzuleiten. Ars Technica empfiehlt, den Server möglichst auf das lokale Netzwerk zu beschränken. Wer Fernzugriff braucht, sollte laut dem Bericht einen Reverse Proxy statt einer direkten Freigabe des Standardports nutzen und sichere Plex-Apps sowie starke Passwörter verwenden.
