Le 19 octobre 2026, The Hacker News a rapporté que des tentatives d’exploitation de Plex2Shell avaient été enregistrées à partir du 17 octobre, au lendemain de la divulgation technique de Zach Main. Le média a cité des charges de minage et un proxy malveillant sous Linux visant des serveurs Plex Media Server vulnérables.

Ce que décrit le signalement

Plex2Shell enchaîne quatre failles pour permettre l’exécution de code à distance sans authentification sur un serveur vulnérable : CVE-2026-96652, CVE-2026-96654, CVE-2026-96655 et CVE-2026-96656. La chaîne combine notamment des requêtes falsifiées côté serveur (SSRF), l’accès au jeton d’administration du propriétaire, puis l’écriture et l’exécution d’un fichier dans le répertoire Codecs. CVE-2026-96651 a également été mentionnée, mais ne fait pas partie de ces quatre failles.

The Hacker News a cité le mineur x12345, un processus XMRig nommé mylovelyminer et myawesomeproxy, présenté comme une porte dérobée et un proxy inverse pour Linux.

Le correctif Plex était disponible à tous dès le 4 août

Plex Media Server 1.43.3.10861 était proposé en bêta aux abonnés Plex Pass le 3 août 2026, puis disponible à tous le 4 août. Dans les notes de version officielles de Plex, l’entreprise indique avoir corrigé une vulnérabilité potentielle de CompanionProxy et empêché la modification par le réseau des préférences TranscoderH264Options et TranscoderH264OptionsOverride.

Dans son avis de sécurité du 1er septembre, Plex recommandait aux propriétaires de serveurs et aux utilisateurs de Plex Desktop de mettre leurs logiciels à jour. L’avis indique Plex Media Server 1.43.3 ou une version ultérieure et Plex Desktop 1.115.0. Plex précisait aussi que la mise à jour pour un NAS pouvait nécessiter une installation manuelle si le paquet n’était pas encore disponible dans le gestionnaire du fabricant. Ses consignes de mise à jour couvrent notamment les installations NAS.

L’exécution montrée par Zach Main se fait sous le compte Plex

Dans l’exemple publié par Zach Main, le code s’exécute sous uid=1000(plex), le compte de service Plex, et non sous root. Cette identité décrit l’exécution de son exemple.

Des utilisateurs de Reddit ont raconté avoir trouvé le processus mylovelyminer sur leur serveur. The Hacker News rapportait que le lien entre ces cas et Plex2Shell n’était pas établi. Un utilisateur de r/selfhosted a déclaré avoir reconstruit son conteneur Plex, changé son mot de passe et bloqué des adresses après avoir trouvé un bot DDoS et constaté le vol de son jeton propriétaire.