Tentativas de exploração do Plex2Shell foram registradas a partir de 17 de outubro de 2026, segundo reportagem da The Hacker News publicada em 19 de outubro. A atividade relatada envolveu servidores vulneráveis do Plex Media Server e cargas maliciosas para mineração de criptomoedas e um proxy reverso para Linux.
O que foi relatado sobre o Plex2Shell
A The Hacker News citou três cargas: o minerador x12345, o processo XMRig chamado mylovelyminer e o myawesomeproxy, descrito como backdoor e proxy reverso para Linux. A reportagem atribui ao Plex2Shell uma cadeia de quatro vulnerabilidades que permite execução remota de código sem autenticação.
As quatro falhas são CVE-2026-96652, CVE-2026-96654, CVE-2026-96655 e CVE-2026-96656. A CVE-2026-96651 também foi mencionada na divulgação, mas não faz parte dessa cadeia de quatro vulnerabilidades.
O que a demonstração de execução revela
Na demonstração técnica publicada por Zach Main em 16 de outubro, o código é executado como uid=1000(plex), a conta de serviço do Plex naquele exemplo. A execução demonstrada não é como root.
Relatos de usuários
A The Hacker News também mencionou usuários do Reddit que relataram encontrar o processo mylovelyminer. A reportagem não atribuiu esses casos ao Plex2Shell. Em outro relato, um usuário disse ter reconstruído o contêiner do Plex, trocado a senha e bloqueado endereços após encontrar um bot de DDoS.
A versão corrigida e as orientações da Plex
A Plex disponibilizou o Plex Media Server 1.43.3.10861 para todos em 4 de agosto de 2026. A versão havia chegado à fase beta do Plex Pass em 3 de agosto. Nas notas da versão, a Plex lista uma correção para uma possível vulnerabilidade do CompanionProxy e mudanças que impedem a alteração, pela rede, das preferências TranscoderH264Options e TranscoderH264OptionsOverride. As notas oficiais da versão registram essas mudanças.
Em um aviso de segurança publicado em 1º de setembro, a Plex recomendou o Plex Media Server 1.43.3 ou posterior e o Plex Desktop 1.115.0. A orientação oficial de atualização também informa que usuários de NAS talvez precisem instalar o pacote manualmente se ele ainda não estiver disponível no gerenciador do fabricante.
