Il 19 ottobre 2026 Ars Technica ha riferito che un ricercatore aveva osservato scansioni dirette a un Plex Media Server simulato entro un giorno dalla configurazione di un honeypot. In seguito, il sistema ha registrato infezioni riuscite. Tra i payload segnalati figurano un miner di criptovalute e software proxy residenziale.
Per il contesto sui tentativi di sfruttamento già segnalati, NeoTeo aveva pubblicato un precedente approfondimento su Plex2Shell.
Che cosa ha osservato l’honeypot Plex2Shell
Le scansioni sono iniziate entro un giorno dalla configurazione dell’honeypot. Secondo il resoconto di Ars Technica, in seguito si sono verificate infezioni riuscite nel server simulato. I payload osservati comprendevano un software per il mining di criptovalute e un programma proxy residenziale.
Come funziona la catena Plex2Shell
Nel post pubblicato il 16 ottobre 2026, il ricercatore ha chiamato Plex2Shell una catena di quattro vulnerabilità e ha elencato questi identificativi: CVE-2026-96652, CVE-2026-96654, CVE-2026-96655 e CVE-2026-96656.
La sequenza descritta parte da una SSRF non autenticata, cioè una richiesta indotta sul lato server. Prosegue con un accesso al loopback e il furto del token del proprietario; il payload viene poi consegnato tramite la transcodifica, fino all’esecuzione di codice da remoto. Secondo il ricercatore, il codice viene eseguito con i permessi dell’account di servizio di Plex.
Nella cronologia pubblicata dal ricercatore, la segnalazione a Plex risale al 27 luglio 2026. Il ricercatore afferma che Plex l’ha riconosciuta e ha pagato un bounty il 4 agosto; i CVE sarebbero stati assegnati il 23 settembre. La divulgazione pubblica della catena è avvenuta il 16 ottobre.
Quali aggiornamenti consiglia Plex
Nell’avviso di sicurezza pubblicato il 1° settembre 2026, Plex raccomanda Plex Media Server 1.43.3 o successivo e indica Plex Desktop 1.115.0. Le due versioni riguardano applicazioni diverse: aggiornare il server non equivale ad aggiornare l’app desktop.
Per i NAS, Plex avverte che il pacchetto aggiornato potrebbe non comparire ancora nel gestore del dispositivo. In quel caso, indica di scaricare il pacchetto adatto al NAS e seguire la procedura d’installazione del produttore.
Come ridurre l’esposizione dell’accesso remoto
Ars Technica ha riportato alcune misure di riduzione del rischio: limitare l’accesso al server alla rete locale quando possibile e, se serve l’accesso remoto, usare un reverse proxy invece di esporre direttamente la porta predefinita 32400. Il resoconto raccomanda inoltre app Plex sicure e password robuste.
