En una noticia publicada el 19 de octubre de 2026, The Hacker News situó desde el día 17 los intentos de explotación de Plex2Shell contra servidores Plex Media Server vulnerables. Según el medio, la actividad desplegaba un minero de criptomonedas y un proxy inverso malicioso para Linux.

Cuatro vulnerabilidades forman la cadena

Zach Main publicó los detalles técnicos de Plex2Shell el 16 de octubre. La cadena combina cuatro fallos para lograr ejecución remota de código sin autenticación en servidores vulnerables. The Hacker News describió estas vulnerabilidades y les atribuyó las siguientes puntuaciones CVSS:

  • CVE-2026-96652 (5,3): una falsificación de solicitudes del lado del servidor, o SSRF, permite que Plex envíe peticiones a otras direcciones sin validar el parámetro que las controla.
  • CVE-2026-96654 (6,9): un fallo en el tratamiento de direcciones URL permite invocar funciones de complementos y obtener el token de administrador del propietario.
  • CVE-2026-96655 (5,3): otra SSRF aprovecha el proceso de transcodificación para dirigir peticiones a otras direcciones.
  • CVE-2026-96656 (8,6): un atacante puede escribir un archivo de biblioteca compartida en una ubicación elegida dentro del directorio Codecs y ejecutarlo.

El informe también menciona CVE-2026-96651 (7,1), que no forma parte de esta cadena de cuatro vulnerabilidades. Para describir los programas desplegados, The Hacker News identificó el minero x12345, un proceso de XMRig llamado mylovelyminer y myawesomeproxy, un backdoor y proxy inverso para Linux.

El build corregido y los cambios de Plex

The Hacker News identificó Plex Media Server 1.43.3.10861 como la versión corregida. Plex ofreció ese build en beta para usuarios de Plex Pass el 3 de agosto de 2026 y lo puso a disposición general el 4 de agosto.

En sus notas de versión, Plex enumeró la corrección de una posible vulnerabilidad de CompanionProxy y un cambio que impide modificar por red las preferencias TranscoderH264Options y TranscoderH264OptionsOverride. El hilo oficial de versiones de Plex detalla esos cambios. En su aviso de seguridad del 1 de septiembre, Plex recomendó actualizar Plex Media Server a la versión 1.43.3 o posterior; el aviso oficial de Plex incluye instrucciones para Windows, macOS, Linux, Docker, NAS y NVIDIA Shield.

Lo que cuentan los usuarios y la demostración

The Hacker News recogió relatos en Reddit de usuarios que dijeron haber encontrado el proceso mylovelyminer en sus servidores Plex. Un usuario de r/selfhosted contó que reconstruyó su contenedor, cambió la contraseña y bloqueó direcciones después de detectar un bot DDoS y sospechar que habían robado su token de propietario.

En el ejemplo técnico de Zach Main, el código se ejecutó como uid=1000(plex), la cuenta de servicio de Plex, y no como root. Esa es la identidad de ejecución que Main describió para su demostración.