Il 19 ottobre 2026 The Hacker News ha riferito che i tentativi di sfruttare Plex2Shell erano iniziati il 17 ottobre, per installare software di mining e un proxy inverso malevolo per Linux sui server Plex Media Server vulnerabili. Plex aveva già reso disponibile a tutti la build 1.43.3.10861, che include modifiche di sicurezza pertinenti: la disponibilità generale risale al 4 agosto.
Gli attacchi segnalati e i payload
La catena Plex2Shell riunisce quattro vulnerabilità di Plex Media Server: CVE-2026-96652, CVE-2026-96654, CVE-2026-96655 e CVE-2026-96656. Zach Main, il ricercatore che ha pubblicato i dettagli tecnici il 16 ottobre, ha descritto come la combinazione possa portare a esecuzione remota di codice senza autenticazione sui server vulnerabili. In pratica, il server può essere indotto a eseguire codice inviato da remoto.
The Hacker News ha riferito che gli aggressori distribuivano il miner x12345 e XMRig, indicato con il nome di processo mylovelyminer, oltre a myawesomeproxy, descritto come backdoor e proxy inverso per Linux. Il resoconto cita anche CVE-2026-96651, ma non la include tra le quattro vulnerabilità della catena Plex2Shell.
La build correttiva e le indicazioni di Plex
Plex Media Server 1.43.3.10861 è entrato nel canale beta Plex Pass il 3 agosto 2026 ed è diventato disponibile a tutti il 4 agosto. Nelle note di rilascio di Plex, la società elenca la correzione di una potenziale vulnerabilità in CompanionProxy e la modifica che impedisce di cambiare via rete le preferenze TranscoderH264Options e TranscoderH264OptionsOverride.
Il 1° settembre Plex ha raccomandato agli utenti di aggiornare Plex Media Server alla versione 1.43.3 o successiva e Plex Desktop alla 1.115.0. Per i dispositivi NAS, l’avviso segnalava che il pacchetto aggiornato poteva non essere ancora presente nel gestore del produttore e indicava la possibilità di installarlo manualmente. Le indicazioni di sicurezza di Plex riguardano installazioni Windows, macOS, Linux, Docker, NAS e NVIDIA Shield; il payload proxy descritto nel resoconto degli attacchi era invece per Linux.
Che cosa dimostra l’esecuzione
Nell’esempio tecnico pubblicato da Zach Main, il codice viene eseguito come uid=1000(plex), l’account di servizio di Plex nella dimostrazione. L’esecuzione mostrata non è come root.
Alcuni utenti su Reddit hanno raccontato di aver trovato processi miner sui propri server. The Hacker News ha riferito che quei casi non erano stati attribuiti con certezza a Plex2Shell. Un utente di r/selfhosted ha raccontato di aver ricostruito il container, cambiato la password Plex e bloccato alcuni indirizzi dopo aver trovato un bot DDoS: un resoconto individuale, non una procedura ufficiale di bonifica.
