Атака Plex2Shell: взломщики ставят майнеры и прокси-бэкдор на серверы Plex

Злоумышленники начали эксплуатировать связку уязвимостей в Plex Media Server, устанавливая на скомпрометированные серверы криптомайнеры и программу обратного прокси. Атаки начались спустя всего сутки после того, как в открытый доступ попал демонстрационный эксплойт (PoC).

По данным исследователя, известного под псевдонимом boredhackerblog, атака состоит в объединении четырёх уязвимостей, названных Plex2Shell.

Цепочка из четырёх уязвимостей

Первая брешь — CVE-2026-96652 (CVSS 5.3) — это SSRF без аутентификации через эндпоинт /player/timeline: параметр protocol подставляется в формируемый URL без проверки, что позволяет заставить сервер отправить POST-запрос по адресу атакующего. Вторая, CVE-2026-96654 (CVSS 6.9), связана с некорректной обработкой URL в эндпоинте searchOne и даёт возможность вызывать функции чужих плагинов и получить административный токен владельца.

Третья уязвимость, CVE-2026-96655 (CVSS 5.3), — ещё один SSRF, но уже от имени авторизованного пользователя: обладая токеном владельца, атакующий может обращаться к произвольным внутренним и внешним адресам через параметр пути /video/:/transcode/universal, в том числе подтягивая вредоносную ELF-нагрузку. Наконец, CVE-2026-96656 (CVSS 8.6) позволяет разместить разделяемый ELF-объект по выбранному пути в каталоге Codecs и выполнить его.

Сложенные в указанном порядке, эти уязвимости дают неаутентифицированное удалённое исполнение кода.

Своевременное обновление уже вышло

Уязвимости (вместе с CVE-2026-96651, CVSS 7.1) были переданы Plex исследователем Зачем Мейном 27 июля 2026 года и закрыты в версии Plex Media Server 1.43.3.10861, выпущенной 3 августа. Технические подробности цепочки стали публичными 16 октября, а уже на следующий день появились первые реальные атаки.

Майнер и прокси с говорящими именами

Атакующие доставляли майнер с удалённого сервера 217.60.194[.]116. Среди компонентов — артефакт myawesomeproxy, который VirusTotal классифицирует как скрытный Linux-бэкдор и обратный прокси. При запуске программа выводит почти издевательское уведомление: запуск означает согласие на возможное стороннее использование вашего интернет-трафика.

Одновременно разворачивается майнер XMRig под именем mylovelyminer, обращающийся к серверу ota.proxystream[.]st. Другой поддомен того же домена ещё в августе был связан компанией Bitsight с DDoS- и прокси-ботнетом AISURU. Пользователи Plex на Reddit сообщали о заражении той же нагрузкой mylovelyminer, хотя её прямая связь с Plex2Shell пока не доказана.

Plex ещё более месяца назад призывал обновляться. Пользователям настоятельно рекомендуется поддерживать установки в актуальном состоянии.

Источник: The Hacker News