Plex2Shell: lanț de exploit pe Plex, exploatat într-o zi

Pe 16 octombrie, cercetătorul Zach Main a publicat analiza tehnică și codul proof-of-concept pentru Plex2Shell, un lanț de patru vulnerabilități din Plex Media Server care permite executarea de cod pe un server expus fără credențiale valide. În dimineața zilei de 17 octombrie, un honeypot Plex vulnerabil, administrat de un alt cercetător, a înregistrat primele atacuri reale: atacatorii au instalat un miner de criptomonede bazat pe XMRig și, mai târziu, un program proxy.

Corecțiile există din septembrie. Dacă nu ai actualizat încă, mai ales dacă serverul este accesibil din internet, fă-o acum: SecurityWeek, Security Affairs, Ars Technica și avizul KISA/KrCERT sunt de acord că actualizarea este prioritatea.

Cronologie

• 27 iulie: vulnerabilitățile sunt raportate către Plex;
• 4 august: Plex le confirmă și plătește o recompensă (bug bounty);
• începutul lui septembrie: apar versiunile corectate; potrivit SecurityWeek, pe 1 septembrie Plex anunță că a distribuit deja corecțiile și cere actualizarea;
• 16 octombrie: publicarea analizei și a PoC-ului;
• 17 octombrie: prima exploatare observată pe honeypot;
• 20 octombrie: avizul de actualizare KISA/KrCERT.

Detalii tehnice

Lanțul folosește CVE-2026-96652, CVE-2026-96654, CVE-2026-96655 și CVE-2026-96656. Avizul coreean include în aceeași actualizare și CVE-2026-96651, iar Ars Technica confirmă că au fost publicate cinci CVE, una cu un scor de 8.6 din 10. Tipurile, potrivit KISA/KrCERT:

• CVE-2026-96651: path traversal;
• CVE-2026-96652 și CVE-2026-96655: server-side request forgery (SSRF);
• CVE-2026-96654: neutralizare incorectă a schemelor URI codificate într-o pagină web;
• CVE-2026-96656: control extern al numelui sau al căii unui fișier.

Versiuni afectate: Plex Media Server anterioare versiunii 1.43.3.10861. Corectate: 1.43.3.10861 și ulterioare.

Potrivit descrierii preluate de Ars Technica, exploit-ul avansează în pași: un SSRF fără autentificare, un pivot prin interfața de loopback, furtul unui token de securitate, livrarea payload-ului și, în final, executarea lui. Security Affairs, citând analiza originală, descrie ultimul pas: o setare legată de transcodare permite scrierea unei biblioteci partajate în folderul de codecuri. Încărcătorul Plex nu verifică numele, permisiunea de execuție, semnătura sau simbolurile bibliotecii; deoarece dlopen execută constructorii ELF (DT_INIT_ARRAY) înainte de rezolvarea simbolurilor, este suficientă o a doua transcodare pentru ca folderul să fie recitit și codul să ruleze cu utilizatorul serviciului (uid=1000(plex) în PoC).

Sursele vorbesc despre execuție „dacă sunt îndeplinite condițiile necesare”, fără să le enumere pe toate: în practică, riscul cel mai mare îl au serverele accesibile din exterior. Cercetătorul a declarat că a folosit intens un model de limbaj pentru a găsi și a înlănțui vulnerabilitățile, deciziile fiind însă ale lui.

Tehnici MITRE ATT&CK corespunzătoare (asocierea noastră): T1190 Exploit Public-Facing Application, T1129 Shared Modules, T1496 Resource Hijacking, T1090 Proxy.

Ce au instalat atacatorii

Informațiile provin de la un singur honeypot, după cum subliniază chiar cercetătorul:

• un miner de criptomonede bazat pe XMRig;
• mai târziu, în aceeași zi, un program numit myawesomeproxy, un software proxy care afișează un avertisment potrivit căruia cine îl rulează acceptă ca alții să-i folosească conexiunea.

Cercetătorul avertizează că datele sunt parțiale: honeypot-ul nu permitea trafic de ieșire și unele payload-uri nu au fost descărcate. Atacatorii au folosit exploit-ul public, posibil modificat. Indicatorii publicați acoperă doar activitatea văzută pe honeypot; nicio sursă nu estimează câte servere reale au fost compromise și nu atribuie atacurile.

De ce contează și pentru companii

Plex este gândit pentru uz casnic, dar se instalează și pe NAS-uri, mașini virtuale și containere Docker (Security Affairs le menționează pe toate printre instalațiile de actualizat): poate fi deci într-un birou mic sau în rețeaua de acasă a cuiva care lucrează de la distanță. Punctul cel mai sensibil este proxy-ul: după cum scrie cercetătorul, un server Plex pe o adresă IP rezidențială este valoros pentru cine vrea să ajungă la VPN-urile și e-mailul companiilor de pe adrese care par legitime și trec de filtrele de reputație și geolocalizare.

Pentru entitățile care intră sub NIS2, un server compromis în rețeaua companiei trebuie evaluat ca posibil incident semnificativ, cu notificare către CSIRT-ul național dacă sunt îndeplinite condițiile. Merită verificate și accesările VPN și e-mail de pe IP-uri rezidențiale neobișnuite.

Ce să faci acum

1. Inventar: caută instanțe Plex Media Server pe servere, NAS-uri, mașini virtuale și containere Docker, inclusiv cele instalate în afara proceselor IT.
2. Actualizează la 1.43.3.10861 sau ulterioară; ia în calcul actualizările automate.
3. Redu expunerea: dacă se poate, limitează Plex la rețeaua locală; dacă trebuie să fie accesibil, Ars Technica sugerează un reverse proxy în loc să expui portul implicit 32400.
4. Caută urme, pentru că actualizarea nu elimină ce a fost deja instalat:
   • procese copil neașteptate pornite de serviciul Plex, în special minere sau proxy-uri;
   • consum de CPU neobișnuit;
   • fișiere necunoscute, mai ales biblioteci .so, în folderul de codecuri Plex;
   • conexiuni de ieșire către adrese necunoscute. Numele fișierelor și infrastructura se pot schimba: nu te baza doar pe o listă fixă de indicatori.
5. Dacă găsești urme: izolează mașina, reinstaleaz-o de la zero și schimbă credențialele contului Plex și pe cele salvate pe gazdă.

Cum ajută ARXDOME

Pe computerele și serverele cu agentul ARXDOME, ARX Sentry colectează inventarul de software, procese și porturi și controlează integritatea fișierelor în folderele alese: o instalare Plex nedeclarată sau o bibliotecă nouă în folderul de codecuri devin vizibile. ARX Watch găsește în rețea dispozitive fără sondă, precum NAS-urile, ARX Expose arată ce servicii și produse ale companiei tale sunt vizibile din internet, iar ARX Shield îți permite să izolezi de rețea o mașină suspectă.

Ultima actualizare: 20 octombrie 2026