ИБ-эксперты предупреждают о массовом использовании четырех уязвимостей в Plex Media Server, объединенных под названием Plex2Shell. Эти баги позволяют злоумышленникам выполнять код на сервере без необходимости аутентификации. В реальных атаках хакеры уже используют эти уязвимости для установки криптовалютных майнеров и прокси-софта. Патчи для исправления проблем были выпущены летом 2026 года, а в начале сентября разработчики Plex настоятельно рекомендовали пользователям обновиться до версии 1.43.3, хотя тогда детали уязвимостей не раскрывались.
Только 16 октября 2026 года исследователь Зак Мэйн (Zach Main), обнаруживший проблемы еще в июле, опубликовал техническое описание и PoC-эксплоит. 19 октября разработчики Plex подтвердили, что уязвимости находятся под активными атаками, и раскрыли их идентификаторы CVE. В цепочку Plex2Shell входят четыре проблемы: CVE-2026-96652 (5,3 балла CVSS) — неаутентифицированная SSRF в эндпоинте /player/timeline; CVE-2026-96654 (6,9 баллов CVSS) — ошибка обработки URL в searchOne, позволяющая извлечь административный токен; CVE-2026-96655 (5,3 балла CVSS) — SSRF для аутентифицированных пользователей через /video/:/transcode/universal; и CVE-2026-96656 (8,6 баллов CVSS) — возможность управления путем записи файла для внедрения вредоносной библиотеки. Исследователь оценивает совокупную опасность всей цепочки на 9,8 балла по шкале CVSS.
Атака начинается с эксплуатации SSRF-багов и CVE-2026-96654 для получения административного токена, после чего злоумышленник загружает вредоносный ELF-файл в директорию Codecs, что приводит к выполнению кода с правами процесса Plex Media Server. Для полной компрометации сервера учетные данные не требуются. Практически сразу после публикации информации начались реальные атаки: 17 октября исследователь boredhackerblog зафиксировал успешную эксплуатацию, что подтвердили эксперты Censys. На зараженных серверах устанавливаются майнеры на базе XMRig и программа myawesomeproxy, которая работает как обратный прокси, позволяя пропускать чужой трафик через домашние IP-адреса жертв.
21 октября Агентство по кибербезопасности и защите инфраструктуры США (CISA) включило уязвимости Plex2Shell в каталог активно эксплуатируемых и потребовало от федеральных ведомств устранить их до 23 октября. Разработчики Plex предупреждают, что все инстансы с версиями ниже 1.43.3.10861 считаются потенциально скомпрометированными. Пользователям рекомендуется немедленно установить обновления, проверить систему на подозрительные процессы и файлы, а также полностью отключить удаленный доступ, если он не используется.
