A Ars Technica informou em 19 de outubro de 2026 que um pesquisador observou varreduras contra um Plex Media Server simulado em até um dia após configurar um honeypot. Depois, o ambiente registrou infecções bem-sucedidas com um minerador de criptomoedas e software de proxy residencial. O relato se soma à cobertura anterior da NeoTeo sobre tentativas de exploração do Plex2Shell.
O que o honeypot de Plex2Shell observou
Um honeypot é um sistema configurado para atrair e registrar tentativas de acesso. No caso relatado, as varreduras começaram em até um dia após a instalação do ambiente simulado, e infecções ocorreram depois. Os payloads identificados foram um minerador de criptomoedas e um programa de proxy residencial.
Como a cadeia Plex2Shell chega à execução de código
O pesquisador que divulgou a análise lista quatro vulnerabilidades na cadeia: CVE-2026-96652, CVE-2026-96654, CVE-2026-96655 e CVE-2026-96656. Ele descreve uma sequência que começa com SSRF sem autenticação, sigla para falsificação de requisição do lado do servidor. A cadeia passa por um acesso a serviços locais, roubo do token do proprietário e entrega de um payload durante a transcodificação, até chegar à execução remota de código pelo serviço Plex.
Segundo a cronologia apresentada pelo pesquisador, ele enviou o relato à Plex em 27 de julho de 2026. A empresa reconheceu o relato e pagou uma recompensa em 4 de agosto; os CVEs foram atribuídos em 23 de setembro, e a divulgação pública ocorreu em 16 de outubro.
Quais atualizações a Plex recomenda
No aviso de segurança publicado em 1º de setembro de 2026, a Plex recomendou o Plex Media Server 1.43.3 ou mais recente e o Plex Desktop 1.115.0. São orientações distintas para o software de servidor e o aplicativo de desktop. O aviso trata do Plex Media Server v1.43.2 e de versões anteriores.
Para quem usa um NAS, a Plex informa que o pacote atualizado pode ainda não aparecer no gerenciador do dispositivo. Nesse caso, orienta baixar o pacote adequado ao NAS e seguir o procedimento de instalação do fabricante.
Como reduzir a exposição do acesso remoto
A Ars Technica recomenda restringir o Plex à rede local quando isso for possível. Para acesso remoto, sugere usar um proxy reverso em vez de expor diretamente a porta padrão 32400, além de manter os aplicativos Plex seguros e usar senhas fortes.
