Vier Plex2 Shell CVE ermöglicht Fernausführung und Bergbau und Proxy-Backdoor-Bereitstellung

In den letzten Tagen wurde eine Zunahme der Angriffe bestätigt, dass die Vorteile einer Kette von Fehlern in Plex Media Server - nicknamed "Plex2Shell" von Forschern - Code remote laufen und sowohl Kryptomineros als auch einen Proxy / Reverse mit Hintertür-Funktionalität bereitstellen. Die am 27. Juli 2026 an Plex gemeldeten und in der am 3. August 2026 veröffentlichten Fassung 1.43.3.10861 korrigierten Urteile wurden von Angreifern nach der öffentlichen Veröffentlichung eines Koncepts (PoC) am 16. Oktober 2026 zusammengefasst und Versuche zur Ausbeutung am folgenden Tag in der Natur aufgezeichnet.

Was passiert ist (bestätigte Fakten): ein Forscher unter dem Pseudonym gelangdhackerblog beschrieben eine Kette von vier Sicherheitslücken (CVE-2026-96652, CVE-2026-96654, CVE-2026-96655 und CVE-2026-96656), die in einer bestimmten Reihenfolge gekettet, von einer ungültigen Web-Anfrage zu einer entfernten Ausführung von Code ohne Authentifizierung in gefährdeten Fällen von Plex bewegen. Plx veröffentlichte einen Patch in Version 1.43.3.10861, um diese Fehler zu korrigieren. Dann gab es Versuche zu operieren, die zur Entladung und Ausführung von zwei Artefakten führten: ein Binär namens "myawesomeproxy" - identifiziert durch öffentliche Analyse als Backdoor / Reverse-proxy für Linux - und ein XMRig Bergbau-Prozess unter dem Namen "mylovelyminer", der die ota.proxystream-Domain kontaktierte [.] st. Analysten haben auch die Netzwerkaktivität mit öffentlichen IP-Adressen, die von den Angreifern verwendet werden (z.B. 217,60.194.116 und die PIs 91,92.40,202, 176,65.139.228, 45,194.92.222).

Wie die Kette technisch funktioniert: jeder Satellit CVE bietet eine Verbindung zur Skala von einer anfänglichen Anfrage zur Ausführung eines vom Angreifer kontrollierten ELF. Eine der Fehler ermöglicht es, die vom Angreifer gesteuerten Parameter in eine URL des Plx-Players (SSRF in / Player / Timeline) einzufügen, eine andere erlaubt Plugin-Funktionen zu rufen und den Eigenbesitzer-Token (Token Escape via / searchOne) zu erhalten, ein drittes erlaubt ein gültiges Token, um beliebige Ressourcen (SSRF in der Transcoding-Route) anzufordern und das geteilte Objekt zu schreiben. In Ketten, diese Vektoren konvertieren eine bösartige Web-Anfrage in Remote-Ausführung, ohne die Notwendigkeit für Anmeldeinformationen.

Wer es betrifft: Plex Media Serverinstanzen, die nicht aktualisiert und aus dem Netzwerk zugänglich sind (Internet oder ein internes Netzwerk, das nicht segmentiert ist). Das Risiko ist höher in Servern mit exponierten Ports, in Einrichtungen, die eine automatische Installation von Codecs oder Plugins erlauben, oder in Umgebungen, in denen der Plex-Prozess mit hohen Privilegien oder mit der Fähigkeit, auf seinem eigenen Dateibaum zu schreiben.

Beobachtete Auswirkungen: Bereitstellung eines XMRig-Kryptominers und eines Proxys mit Hintertürfunktionalität. Der Proxy ("myawesomeproxy") berichtet, wenn er mit einer Nachricht beginnt, dass die Software nach Angaben des Forschers den Netzwerkverkehr des Hosts nutzen kann; es ist eine operative Bestätigung, dass die verlobte Maschine als Ausgang / Relaissprung für den fremden Verkehr wiederverwendet werden kann. Darüber hinaus wurden Verbindungen zwischen Proxystream [.] st Subdomains und früheren Botnets / Proxyware-Aktivitäten von Dritten dokumentiert (z.B. Sicherheitsberichte, die global.relay.proxystream [.] st zu AISURU-Kampagnen im August 2026 betreffen).

Was wird bestätigt und was nicht: wird bestätigt, dass es EQs und das öffentliche Patch gibt, dass Aktivität im Netzwerk nach der Veröffentlichung des PoC beobachtet wurde und dass die oben genannten Artefakte aus den angegebenen Richtungen und Domänen heruntergeladen wurden. Es wird jetzt nicht bestätigt, dass alle von Benutzern in Foren gemeldeten Fälle - wie mehrere Threads in Reddit, die "mylovelyminer" erwähnen - speziell aus der Plex2Shell-Kette kommen; es gibt Fälle, in denen Kryptoming-Kampagnen mehrere Vektoren wiederverwenden. Ebenso wenig gibt es eine öffentliche und geprüfte Zuschreibung des verantwortlichen Schauspielers oder absolute Sicherheit über die vollständige Skala von Infektionen jenseits der öffentlich beobachteten Indikatoren.

Für diejenigen, die offizielle technische Referenzen bevorzugen, werden die zugehörigen CVE-Aufzeichnungen bereits auf öffentlichen Grundlagen wie MITRE veröffentlicht ( CVE-2026-96652, CVE-2026-96656) und Plex hält seine Download- und Update-Seite auf https: / / www.plex.tv / media-server-download /. Um das technische Bergbaustück zu verstehen, dokumentiert XMRig (die in diesen Kampagnen allgemein erfasste Bergbausoftware) sein Verbindungsprotokoll in https: / / xmrig.com.

Was der Administrator oder Benutzer von Plx tun sollte: zuerst und dringend überprüfen Sie die Version von Plx Media Server; wenn es vor 1,43.3.10861 ist, sofort aktualisieren Sie die geparched Version oder auf eine spätere Version. Wenn die Instanz dem Internet ausgesetzt ist, isolieren Sie den Dienst bis zum Update. Wenn Sie das Engagement vermuten, gehen Sie mit diesen spezifischen Aktionen fort: (1) Trennen Sie die Maschine aus dem externen Netzwerk; (2) führen Sie eine forensische Speicherumdrehung und ein Festplattenbild, wenn Sie Analysefähigkeiten haben; (3) Suche nach Prozessen mit ungewöhnlichen Namen (z.B. "mylovelyminer", "myawesometopstopstop") und ausgehende Verbindungen zu den angegebenen Domains / PIstops; (4) inspectstops

Parallel dazu gelten Vorbeugungssteuerungen: Sie beschränkt den Zugriff auf den Plex-Server durch Firewall (unter Nutzung nur zuverlässiger Netzwerke), deaktivieren UPnP / auto-port-forwarding in Routern, setzen Plex hinter ein VPN oder Proxy-Inverse, die vor der Authentifizierung und begrenzt die Privilegien des Benutzers, der Plex läuft, um ein Schreiben in eigenen kritischen Verzeichnissen zu vermeiden. Erfassen und überwachen Sie häufige ausgehende Verbindungen zu bekannten IOC (PIs und Domains oben genannt) und blockieren Sie diese in einem Umkreis.

Schließlich dokumentieren und berichten Sie alle Ergebnisse: Wenn Sie Beweise für Engagement erkennen, Protokolle erfassen, Ihren Hosting-Anbieter informieren, wenn Sie Indikatoren mit öffentlichen Geheimdiensten anwenden und vergleichen, bevor Sie eine lokale Abhilfe versuchen. Die Geschwindigkeit der Anwendung von Patches und Netzwerksegmentierung bleiben die effektivsten Barrieren für diese Arten von Ketten, die Validierungsausfälle in Remote-Ausführung und illegale Nutzung von Ressourcen verwandeln.