Домашний медиасервер Plex Media Server оказался в центре масштабной кибератаки из-за цепочки из четырех уязвимостей, получивших название Plex2Shell. Эта комбинация ошибок позволяет злоумышленникам удаленно выполнять произвольный код на сервере без необходимости авторизации. Компания Plex уже подтвердила факт массовых атак, а специалисты Censys выявили почти 100 тысяч потенциально уязвимых серверов. Всего в интернете доступно 323 583 сервера Plex, около 30% из которых работают на уязвимых версиях, а примерно 44% находятся в США. Особую опасность представляет ранняя сборка 1.43.3.10828, которую около 8000 владельцев ошибочно считают защищенной.
Атака строится последовательно: сначала с помощью CVE-2026-96652 заставляют сервер отправлять запросы по заданному адресу, затем CVE-2026-96654 используется для доступа к внутренним функциям. Далее CVE-2026-96655 раскрывает административный токен владельца, что открывает путь к использованию CVE-2026-96656. Через настройки перекодирования видео атакующий записывает вредоносную библиотеку в каталог Codecs, после чего Plex загружает и запускает этот файл с правами серверного процесса, не проверяя цифровую подпись. Рабочий эксплойт появился 16 октября, а уже 17 октября была зафиксирована первая атака, на скомпрометированных серверах установили майнер криптовалют и прокси-программу.
Позднее Plex подтвердила широкомасштабную эксплуатацию уязвимостей. Прокси-программа позволяет перенаправлять чужой интернет-трафик через подключение жертвы, превращая домашний сервер в сетевой узел злоумышленника. Исправленная версия 1.43.3.10861 вышла еще 4 августа, а 1 сентября компания предупредила об необходимости обновления. Однако даже после публикации эксплойта ситуация почти не изменилась: за первые три дня обновились менее 2% оставшихся уязвимых серверов, а среди отслеживаемых по прежним IP-адресам обновление получили лишь около 40%. Разработчики предупреждают, что простое обновление уже взломанного сервера не удаляет вредоносные библиотеки и не отзывает украденные токены. Владельцам рекомендуют переустановить Plex, очистить каталог Codecs, проверить настройки перекодирования, завершить все сеансы и сменить пароль, так как под угрозой также находятся сетевые папки и учетные данные.