Ars Technica informó el 19 de octubre de 2026 de que un investigador observó escaneos contra un Plex Media Server simulado dentro del día siguiente a configurar un honeypot. Después registró infecciones exitosas con un minero de criptomonedas y software de proxy residencial.
Qué observó el honeypot de Plex2Shell
El servidor simulado recibió escaneos y, más tarde, sufrió infecciones, según el relato de Ars Technica sobre las observaciones de un investigador cuyo nombre no se publicó. El informe no atribuye a esas infecciones una fecha de calendario.
NeoTeo ya había cubierto los intentos de explotación de Plex2Shell contra Plex Media Server. El informe posterior de Ars Technica describió lo que ocurrió en este honeypot: las cargas maliciosas observadas incluían un minero de criptomonedas y software que convierte la conexión residencial en un proxy.
Qué implica la cadena Plex2Shell
El investigador que divulgó Plex2Shell describió una cadena de cuatro vulnerabilidades que permite ejecutar código de forma remota sin autenticación. Su análisis enumera CVE-2026-96652, CVE-2026-96654, CVE-2026-96655 y CVE-2026-96656.
A grandes rasgos, la cadena combina una falsificación de solicitudes del lado del servidor (SSRF), un salto hacia servicios locales, el robo del token del propietario y la entrega de una carga mediante la transcodificación. La ejecución de código remoto permite que un atacante ejecute instrucciones en el servidor vulnerable. El investigador dijo que el código de su análisis se ejecutó con la cuenta de servicio de Plex.
En su cronología, el investigador afirmó que comunicó las vulnerabilidades a Plex el 27 de julio de 2026, que Plex respondió y pagó una recompensa el 4 de agosto, que los CVE se asignaron el 23 de septiembre y que publicó la cadena el 16 de octubre.
Qué versiones recomienda Plex
En su aviso de seguridad del 1 de septiembre de 2026, Plex recomendó Plex Media Server 1.43.3 o posterior y Plex Desktop 1.115.0. El aviso se refiere a Plex Media Server 1.43.2 y versiones anteriores. Plex publicó también las instrucciones para actualizar Plex Media Server.
Para quienes ejecutan Plex Media Server en un NAS, Plex advierte de que el paquete actualizado puede tardar en aparecer en el gestor de paquetes del dispositivo. En ese caso, indica descargar el paquete adecuado para el NAS y seguir el procedimiento de instalación del fabricante.
Cómo reducir la exposición del acceso remoto
Ars Technica recogió estas recomendaciones de seguridad: limitar el acceso al servidor a la red local cuando sea posible; si se necesita acceso remoto, usar un proxy inverso en lugar de exponer el puerto predeterminado 32400; y utilizar aplicaciones Plex seguras y contraseñas robustas.
