Ars Technica meldde op 19 oktober 2026 dat een onderzoeker binnen een dag na het opzetten van een honeypot scans zag op een gesimuleerde Plex Media Server. Later volgden succesvolle infecties met een cryptominer en software voor een residentiële proxy.
Wat de Plex2Shell-honeypot waarnam
De honeypot was een nagebootste Plex-server waarmee een onderzoeker activiteit rond Plex2Shell observeerde. De scanpogingen kwamen binnen een dag na het opzetten ervan; de infecties volgden later. Een tweede, niet bij naam genoemde onderzoeker vertelde Ars Technica dat aanvallers een proxy op een woonverbinding zouden kunnen gebruiken om bedrijfsnetwerken en e-mail te benaderen.
NeoTeo berichtte eerder over gemelde exploitpogingen tegen Plex Media Server. Dit vervolg gaat over de waarnemingen op de honeypot, zoals beschreven in de eerdere melding van Plex2Shell-exploitpogingen.
Hoe de Plex2Shell-keten werkt
De onderzoeker achter Plex2Shell beschreef vier kwetsbaarheden die samen uitvoering van code op afstand mogelijk maken. De keten begint volgens die beschrijving met een SSRF-aanval: een aanvaller laat de server een verzoek naar een intern adres sturen. Daarna volgen een omweg via loopback, diefstal van een eigenaartoken en aflevering van een payload via transcoding. De code wordt volgens de onderzoeker uitgevoerd onder het account van de Plex-service.
De onderzoeker koppelde vier identificaties aan de keten: CVE-2026-96652, CVE-2026-96654, CVE-2026-96655 en CVE-2026-96656. Volgens diens tijdlijn meldde de onderzoeker de kwetsbaarheden op 27 juli 2026 bij Plex. Plex erkende de melding en betaalde op 4 augustus een bounty, aldus diezelfde tijdlijn. De CVE’s werden op 23 september toegewezen en de onderzoeker maakte de keten op 16 oktober openbaar.
Welke updates Plex adviseert
In een beveiligingsbericht van 1 september 2026 adviseerde Plex Plex Media Server 1.43.3 of hoger en Plex Desktop 1.115.0. Dat zijn afzonderlijke aanbevelingen voor de server en de desktopapp. Het beveiligingsbericht van Plex geeft ook instructies voor NAS-systemen.
Plex zegt dat een NAS-pakket nog niet in de pakketbeheerder van het apparaat kan staan. In dat geval moeten gebruikers het passende pakket handmatig downloaden en de installatieprocedure van de NAS-fabrikant volgen.
Toegang op afstand beperken
Ars Technica noemt toegang via alleen het lokale netwerk als optie waar dat mogelijk is. Wie toegang op afstand nodig heeft, kan volgens het advies een reverse proxy gebruiken in plaats van de standaardpoort 32400 rechtstreeks bloot te stellen. Het bericht noemt ook veilige Plex-apps en sterke wachtwoorden.
