W raporcie opublikowanym 19 października 2026 r. Ars Technica opisała skanowanie symulowanego Plex Media Server i późniejsze infekcje zaobserwowane przez badacza prowadzącego honeypot dla Plex2Shell. Zgłoszone ładunki obejmowały koparkę kryptowalut i oprogramowanie proxy wykorzystujące domowe łącze.
Wcześniejszy tekst NeoTeo o próbach wykorzystania Plex2Shell opisywał ataki na Plex Media Server. Nowy raport Ars Technica dotyczy obserwacji w symulowanym środowisku.
Co zaobserwowano w honeypocie Plex2Shell
Według Ars Technica skanowanie rozpoczęło się w ciągu doby od uruchomienia honeypota. Później badacz odnotował udane infekcje. Ars Technica wymieniła dwa rodzaje ładunków: koparkę kryptowalut oraz oprogramowanie proxy, które może wykorzystywać domowe łącze internetowe jako punkt wyjścia dla ruchu sieciowego.
Jak działa łańcuch Plex2Shell
Badacz, który ujawnił szczegóły Plex2Shell, opisał łańcuch czterech podatności prowadzących do zdalnego wykonania kodu na podatnym serwerze. Wymienił CVE-2026-96652, CVE-2026-96654, CVE-2026-96655 i CVE-2026-96656. Zdalne wykonanie kodu oznacza, że atakujący może uruchomić kod na serwerze przez sieć.
W opisie badacza łańcuch zaczyna się od SSRF, czyli nakłonienia serwera do wysłania żądania do wewnętrznego zasobu. Następne etapy obejmują przejście przez adres zwrotny, kradzież tokenu właściciela, dostarczenie ładunku przez transkodowanie i uruchomienie kodu jako konto usługi Plex.
Badacz podał, że zgłosił podatności Plex 27 lipca 2026 r. Według jego relacji Plex potwierdził zgłoszenie i przyznał nagrodę 4 sierpnia, CVE przypisano 23 września, a publiczne ujawnienie nastąpiło 16 października.
Jakie aktualizacje zaleca Plex
W komunikacie z 1 września 2026 r. Plex zalecił aktualizację Plex Media Server do wersji 1.43.3 lub nowszej, a Plex Desktop do wersji 1.115.0. To osobne zalecenia dla serwera i aplikacji desktopowej. Oficjalny komunikat Plex dotyczy Plex Media Server 1.43.2 i wcześniejszych wersji.
Plex zaznaczył, że pakiet dla urządzenia NAS może nie być jeszcze dostępny w jego menedżerze pakietów. W takiej sytuacji zalecił pobranie pakietu odpowiedniego dla danego urządzenia i instalację zgodnie z procedurą producenta NAS.
Jak ograniczyć ekspozycję zdalnego dostępu
Ars Technica opisała zalecenie, by tam, gdzie to możliwe, ograniczyć dostęp do Plex Media Server do sieci lokalnej. Jeśli potrzebny jest dostęp zdalny, wskazała reverse proxy zamiast bezpośredniego wystawiania domyślnego portu 32400. Wymieniła też bezpieczne aplikacje Plex i silne hasła jako środki ograniczające ryzyko.
