Hlásené zneužitie Plex2Shell na neaktualizovanom serveri Plex
Výskumník zaznamenal na honeypote útok využívajúci verejne dostupný exploit proti neaktualizovanému Plex Media Serveru. Oprava je vo verzii 1.43.3.10861 a novšej.
Plex2Shell bol podľa hlásenia bezpečnostného výskumníka použitý proti neaktualizovaným inštaláciám Plex Media Server. Pozorovanie z honeypotu zo 17. októbra, o ktorom 19. októbra informoval SecurityWeek, opisuje použitie verejne dostupného exploitu a následné nasadenie kryptomenového minera XMRig spolu s proxy programom.
Rozsah incidentu zatiaľ nie je potvrdený. Informácia o aktívnom zneužívaní vychádza z pozorovania jediného výskumníka sprostredkovaného magazínom SecurityWeek; Plex ani americká agentúra CISA verejne nepotvrdili rozsah kampane, počet zasiahnutých serverov ani identitu útočníkov.
Plex2Shell sa týka starších verzií servera
Plex už 1. septembra vyzval prevádzkovateľov, aby aktualizovali Plex Media Server na verziu 1.43.3 alebo novšiu. CISA uviedla, že Plex Media Server starší než 1.43.3.10861 obsahuje viacero zraniteľností. V najhoršom prípade môžu viesť ku krádeži prihlasovacích údajov a následnému zápisu súborov alebo spusteniu kódu.
Nezávisle overeným zmiernením je aktualizácia na verziu 1.43.3.10861 alebo novšiu. Prevádzkovatelia by mali skontrolovať aj inštalácie na NAS zariadeniach a v kontajneroch Docker.
Po útoku bol nasadený miner a proxy program
Podľa popisu SecurityWeek boli po zneužití reťazca nasadené XMRig a proxy program. Takéto nasadenie môže viesť k zneužitiu výkonu servera a sieťového pripojenia.
Riziko sa týka najmä verejne dostupných a neaktualizovaných serverov Plex Media Server. Samotné hlásenie však nepotvrdzuje, že boli napadnuté aj ďalšie systémy mimo sledovaného honeypotu, ani neuvádza rozsah prípadných škôd.
Nejasnosti okolo CVE označení
Technické detaily reťazca označovaného ako Plex2Shell nie sú vo všetkých dostupných podkladoch zhodné. Kandidátny titulok spája prípad s CVE-2026-96656, kým podklady CISA a databáza GitHub Advisory Database prepájajú reťazec aj s CVE-2026-96651. Presné zloženie zraniteľností preto zatiaľ nemožno uviesť s úplnou istotou.
Prevádzkovatelia by nemali čakať na objasnenie všetkých technických detailov. Rozhodujúce je overiť verziu Plex Media Server a nainštalovať opravené vydanie.
Čo sledovať ďalej
- potvrdenie aktívneho zneužívania zo strany Plexu, CISA alebo ďalších nezávislých výskumníkov,
- prípadné zaradenie niektorej zo zraniteľností do katalógu CISA Known Exploited Vulnerabilities,
- ďalšie indikátory kompromitácie a informácie o iných možných payloady než XMRig a proxy program,
- dostupnosť opravených balíkov pre konkrétne NAS platformy a kontajnerové nasadenia.
Zdroje
- Plex Forum — Important Security Update for Plex Media Server v1.43.2 and earlier – Plex 1. septembra oznámil bezpečnostné aktualizácie a odporučil všetkým vlastníkom serverov aktualizovať na 1.43.3 alebo novšiu verziu.
- CISA CSAF VA-26-266-01 – CISA dokumentuje viac zraniteľností Plex Media Server pred verziou 1.43.3.10861, ich potenciálny dopad a opravu v 1.43.3.10861.
- SecurityWeek — Plex2Shell Exploit Chain Weaponized Against Plex Servers Hours After Disclosure – Uvádza pozorovanie exploitácie na honeypote 17. októbra a nasadenie XMRig a proxy programu; rozsah nebol nezávisle potvrdený.
Overené a aktualizované: 19. 10. 2026 15:25
