Actualizare urgentă Plex: vulnerabilitatea Plex2Shell exploatată activ

Plex Media Server, una dintre cele mai populare soluții pentru organizarea și redarea colecțiilor personale de filme, muzică și fotografii, se confruntă cu o problemă serioasă de securitate. Mai multe vulnerabilități descoperite recent, grupate sub numele Plex2Shell, permit atacatorilor să execute cod arbitrar de la distanță fără autentificare. Exploatarea în sălbăticie a început deja, iar cercetătorii avertizează că serverele neactualizate sunt expuse riscului de a fi transformate în mașini zombie pentru minerit de criptomonede sau noduri proxy.

Ce este Plex Media Server?

Plex Media Server este o aplicație care transformă un computer sau un dispozitiv de stocare în rețea (NAS) într-un server media personal. Utilizatorii își pot organiza bibliotecile de conținut video, audio și foto și le pot accesa de pe orice dispozitiv compatibil: smart TV-uri, telefoane, tablete, playere de streaming sau console de jocuri. Platforma oferă și funcții de transcodare, adică conversia din mers a fișierelor media într-un format compatibil cu dispozitivul de redare.

Plex este un produs licențiat și respectat în industria media, cu milioane de utilizatori la nivel global, inclusiv în România. Popularitatea sa îl face o țintă atractivă pentru infractorii cibernetici, mai ales că multe servere Plex sunt expuse la internet pentru acces de la distanță.

O vulnerabilitate cu lanț complex

Cercetătorii de securitate au identificat patru vulnerabilități corelate, înregistrate sub codurile CVE-2026-96652, CVE-2026-96654, CVE-2026-96655 și CVE-2026-96656. Denumite colectiv Plex2Shell, acestea afectează versiunile Plex Media Server anterioare versiunii 1.43.3.10861.

Lanțul de exploatare începe cu o vulnerabilitate de tip server-side request forgery (SSRF) care poate fi declanșată printr-un endpoint al playerului, folosind orice valoare de token. Ulterior, atacatorul poate pivota către funcții interne ale agentului Plex de pe interfața loopback, să fure tokenul administrativ al proprietarului prin callback-uri de rețea malițioase și să manipuleze preferințele de transcodare pentru a scrie fișiere controlate în directorul Codecs. Aceste fișiere sunt apoi încărcate și executate la inițializarea transcodorului, oferind execuție de cod cu privilegiile procesului Plex.

Codul demonstrativ public (proof-of-concept) a apărut pe 16 octombrie 2026, iar a doua zi, un cercetător care opera un honeypot (un sistem capcană) a observat exploatarea efectivă a vulnerabilității împotriva acestuia.

Atacul observat: miner și proxy

În atacul documentat, infractorii au instalat un miner de criptomonede bazat pe XMRig și o aplicație proxy numită myawesomeproxy. Proxy-ul permite rutarea traficului extern prin conexiunea de internet a victimei, transformând serverul compromis într-un nod pentru diverse activități rău intenționate, cum ar fi spălarea de trafic sau atacuri DDoS.

Indicatorii specifici ai compromiterii includ procese copil generate de binarul Plex Media Server, procese cu nume precum myawesomeproxy, mylovelyminer sau x12345, și argumente de linie de comandă care conțin identificatori de rig, niveluri de donație sau domeniul proxystream.st. De asemenea, pot apărea fișiere partajate (.so sau .dll) neașteptate în directorul Codecs, care se pot re-executa la fiecare operațiune de transcodare.

Impactul asupra utilizatorilor din România și Europa

Datele de scanare arată că peste 36.000 de servere Plex expuse la internet rulau versiuni vulnerabile la începutul lunii septembrie 2026. Deși exploatarea documentată până acum s-a limitat la un singur honeypot controlat, disponibilitatea publică a codului de exploatare crește probabilitatea unor atacuri pe scară largă împotriva serverelor neactualizate.

Utilizatorii din România și din Europa care rulează Plex Media Server pe Linux sau în containere Docker și au activată funcția Remote Access (acces de la distanță) sunt deosebit de expuși. Mulți entuziaști de tehnologie din regiune utilizează Plex pe NAS-uri sau mini-PC-uri conectate permanent la internet, ceea ce le face ținte ușoare dacă nu aplică actualizările.

Pe lângă riscul de a-și pierde controlul asupra serverului, victimele pot suferi degradarea performanței din cauza mineritului de criptomonede, consum crescut de energie și lățime de bandă, precum și posibile probleme legale dacă conexiunea lor este folosită pentru activități ilicite prin intermediul proxy-ului.

Măsuri de protecție recomandate

Plex a emis notificări și e-mailuri directe către utilizatorii afectați în jurul datei de 1 septembrie 2026, recomandând actualizarea la versiunea 1.43.3.10861 sau mai recentă. Toți deținătorii de servere Plex Media Server ar trebui să urmeze acești pași imediat:

• Actualizați Plex Media Server la versiunea 1.43.3.10861 sau mai nouă, folosind canalele oficiale de distribuție.
• Dacă nu aveți nevoie de acces de la distanță, dezactivați funcția Remote Access din setările serverului.
• Verificați procesele active pentru copii neașteptate ale procesului principal Plex (de exemplu, prin comanda ps aux | grep -i plex pe Linux).
• Inspectați directorul Codecs pentru fișiere binare necunoscute (de exemplu, în /var/lib/plexmediaserver/Library/Application Support/Plex Media Server/Codecs pe Linux).
• Examinați jurnalele de rețea pentru conexiuni către domeniul proxystream.st sau alte adrese suspecte.
• Aplicați segmentarea rețelei pentru a limita expunerea portului 32400, folosit de Plex.
• Dacă suspectați că serverul a fost deja compromis, cea mai sigură metodă de recuperare este reinstalarea sistemului de la zero, urmată de restaurarea datelor din backup-uri curate.

Ce înseamnă acest incident pentru ecosistemul de streaming

Vulnerabilitățile de acest tip subliniază importanța actualizărilor de securitate pentru orice aplicație expusă la internet. Plex Media Server nu este singurul produs de acest gen vizat de atacatori; alte platforme media server, cum ar fi Jellyfin sau Emby, au avut probleme similare în trecut. Pentru utilizatorii casnici, lecția este clară: un server media personal poate deveni o poartă de intrare în rețeaua de acasă dacă nu este întreținut corespunzător.

În contextul creșterii popularității soluțiilor de tip „do-it-yourself” pentru streaming, este esențial ca utilizatorii să trateze securitatea cu aceeași seriozitate ca pe un server de producție. Actualizările automate, monitorizarea periodică și minimizarea suprafeței de atac (prin dezactivarea funcțiilor neutilizate) sunt practici de bază care pot preveni compromiterea.

Ce urmează

Cercetătorii de securitate continuă să monitorizeze situația, iar dacă apar campanii de exploatare la scară largă, este posibil ca Plex să emită actualizări suplimentare sau instrumente de detectare. Între timp, cea mai bună apărare rămâne actualizarea promptă și verificarea atentă a serverului. Utilizatorii Plex din România și din Europa sunt sfătuiți să trateze această alertă cu maximă seriozitate și să acționeze imediat pentru a-și proteja dispozitivele și rețelele.