The Hacker News meldde op 19 oktober 2026 dat aanvallers vanaf 17 oktober exploitpogingen met Plex2Shell uitvoerden. Volgens het bericht waren die gericht op Plex Media Server en bedoeld om cryptominingsoftware en een Linux-backdoor te installeren. Plex had versie 1.43.3.10861 al op 4 augustus algemeen beschikbaar gemaakt.
De gemelde kwetsbaarheden en payloads
Beveiligingsonderzoeker Zach Main beschreef een keten van vier kwetsbaarheden waarmee op afstand code kon worden uitgevoerd op een Plex Media Server, zonder dat daarvoor eerst moest worden ingelogd. De vier CVE-nummers zijn CVE-2026-96652, CVE-2026-96654, CVE-2026-96655 en CVE-2026-96656. CVE-2026-96651 werd daarnaast genoemd, maar maakt geen deel uit van deze keten.
The Hacker News meldde dat bij de exploitpogingen de miner x12345, een XMRig-proces met de naam mylovelyminer en de Linux-backdoor en reverse proxy myawesomeproxy werden ingezet.
De Plex-update en het updateadvies
Plex maakte Plex Media Server 1.43.3.10861 op 3 augustus beschikbaar in het bètakanaal voor Plex Pass-gebruikers en op 4 augustus 2026 voor iedereen. In de officiële releaseaankondiging van Plex staan twee beveiligingswijzigingen: Plex pakte een mogelijke kwetsbaarheid in CompanionProxy aan en verhinderde dat de voorkeuren TranscoderH264Options en TranscoderH264OptionsOverride via het netwerk konden worden aangepast.
In een beveiligingsbericht van 1 september adviseerde Plex serverbeheerders Plex Media Server 1.43.3 of nieuwer te gebruiken en Plex Desktop bij te werken naar versie 1.115.0. Plex gaf update-instructies voor Windows, macOS, Linux, Docker, NAS-systemen en NVIDIA Shield. Voor NAS-apparaten kan handmatige installatie nodig zijn als het pakket nog niet in de pakketbeheerder van de fabrikant staat. Het beveiligingsadvies van Plex bevat de volledige aanbeveling.
Welke rechten de demonstratie liet zien
In zijn technische beschrijving liet Zach Main de keten code uitvoeren als uid=1000(plex), de Plex-servicegebruiker in zijn voorbeeld. De code draaide daarmee niet als root.
Wat gebruikers meldden
Reddit-gebruikers beschreven onder meer uitgestelde updates en afspeelproblemen waarna één gebruiker terugging naar Plex Media Server 1.43.0. The Hacker News meldde ook gebruikersberichten over mylovelyminer, maar koppelde die incidenten niet aan Plex2Shell.
