The Hacker News podał, że próby wykorzystania Plex2Shell odnotowano 17 października 2026 r., dzień po publikacji technicznego opisu łańcucha podatności przez badacza Zach Maina. Według tego serwisu atakujący instalowali koparki kryptowalut oraz linuksowy backdoor działający jako reverse proxy. Plex udostępnił poprawioną wersję Plex Media Server 1.43.3.10861 wszystkim użytkownikom 4 sierpnia.

Co zgłoszono w sprawie Plex2Shell

Zach Main opisał łańcuch czterech podatności: CVE-2026-96652, CVE-2026-96654, CVE-2026-96655 i CVE-2026-96656. Łącznie miały umożliwiać zdalne wykonanie kodu bez uwierzytelnienia na podatnym serwerze. W uproszczeniu: błędy w obsłudze żądań i tokenu właściciela prowadziły do wykorzystania transc kodera i umieszczenia pliku w katalogu Codecs.

The Hacker News podał, że w zgłoszonych próbach instalowano koparkę x12345, proces XMRig o nazwie mylovelyminer oraz myawesomeproxy, linuksowy backdoor pełniący funkcję reverse proxy. Osobno w doniesieniu wymieniono CVE-2026-96651; nie należy ono do czterech podatności składających się na łańcuch Plex2Shell.

Która wersja Plex Media Server zawiera poprawkę

Plex Media Server 1.43.3.10861 trafił do użytkowników Plex Pass w kanale beta 3 sierpnia 2026 r., a dzień później stał się ogólnodostępny. W oficjalnym wątku z informacjami o wydaniu Plex wymienił poprawkę potencjalnej podatności CompanionProxy oraz zmianę, która uniemożliwia zdalną modyfikację ustawień TranscoderH264Options i TranscoderH264OptionsOverride.

W komunikacie z 1 września Plex zalecił właścicielom serwerów aktualizację do Plex Media Server 1.43.3 lub nowszego, a użytkownikom Plex Desktop do wersji 1.115.0. Plex zaznaczył, że pakiet dla urządzenia NAS może nie pojawić się od razu w menedżerze producenta i czasem trzeba zainstalować go ręcznie. Komunikat Plex o aktualizacji zabezpieczeń zawiera zalecenia dotyczące aktualizacji.

Jakie uprawnienia pokazuje demonstracja

W przykładzie Zach Maina kod działał jako uid=1000(plex), czyli użytkownik usługi Plex w tej demonstracji. To konkretny kontekst wykonania pokazany w opisie badacza; nie należy utożsamiać go z dowolnym poziomem uprawnień na hoście.