Cuatro CVE de Plex2Shell permiten ejecución remota y despliegue de minero y proxy backdoor

En los últimos días se ha confirmado un aumento de ataques que aprovechan una cadena de fallos en Plex Media Server —apodada "Plex2Shell" por investigadores— para ejecutar código de forma remota y desplegar tanto criptomineros como un proxy/reverso con funcionalidad de puerta trasera. Los fallos, reportados originalmente a Plex el 27 de julio de 2026 y corregidos en la versión 1.43.3.10861 publicada el 3 de agosto de 2026, han sido combinados por atacantes tras la publicación pública de un proof‑of‑concept (PoC) el 16 de octubre de 2026, y se registraron intentos de explotación en la naturaleza al día siguiente.

Qué ha sucedido (hechos confirmados): un investigador que opera bajo el seudónimo boredhackerblog describió una cadena de cuatro vulnerabilidades (CVE‑2026‑96652, CVE‑2026‑96654, CVE‑2026‑96655 y CVE‑2026‑96656) que, encadenadas en un orden concreto, permiten pasar de una petición web no validada a una ejecución remota de código sin autenticación en instancias vulnerables de Plex. Plex lanzó un parche en la versión 1.43.3.10861 para corregir estos fallos. Posteriormente se observaron intentos de explotación que resultaron en la descarga y ejecución de dos artefactos: un binario denominado "myawesomeproxy" —identificado por análisis públicos como un backdoor/reverse‑proxy para Linux— y un proceso de minería XMRig bajo el nombre "mylovelyminer" que contactaba con el dominio ota.proxystream[.]st. Analistas han correlacionado además actividad de red con direcciones IP públicas usadas por los atacantes (por ejemplo, 217.60.194.116 y las IPs 91.92.40.202, 176.65.139.228, 45.194.92.222).

Cómo funciona técnicamente la cadena: cada CVE satélite aporta un eslabón para escalar desde una petición inicial hasta la ejecución de un ELF controlado por el atacante. Resumiendo su papel, sin reproducir el exploit paso a paso: uno de los fallos permite que parámetros controlados por el atacante se inserten en una URL usada por el reproductor de Plex (SSRF en /player/timeline), otro permite invocar funciones de plugins y obtener el token del propietario (fuga de token via /searchOne), un tercero habilita que un token válido solicite recursos arbitrarios (SSRF en la ruta de transcodificación), y el último permite escribir un objeto compartido ELF en la carpeta de Codecs y forzar su carga y ejecución. Encadenados, estos vectores convierten una petición web maliciosa en ejecución remota sin necesidad de credenciales.

A quién afecta: instancias de Plex Media Server que no han sido actualizadas y que estén accesibles desde la red (Internet o una red interna sin segmentar). El riesgo es mayor en servidores con puertos expuestos, en instalaciones que permiten instalación automática de codecs o plugins, o en entornos donde el proceso de Plex corre con privilegios elevados o con capacidad para escribir en su propio árbol de archivos.

Impacto observado: despliegue de un criptominero XMRig y de un proxy con funcionalidad de puerta trasera. El proxy ("myawesomeproxy") informa al iniciarse con un mensaje que, según el investigador, advierte que el software puede usar el tráfico de la red del anfitrión; es una confirmación operativa de que la máquina comprometida puede ser reutilizada como salto de salida/relay para tráfico ajeno. Adicionalmente, vínculos entre subdominios de proxystream[.]st y actividades previas de botnets/proxyware han sido documentados por terceros (p. ej. reportes de seguridad que relacionan global.relay.proxystream[.]st con campañas de AISURU en agosto de 2026).

Qué está confirmado y qué no: está confirmado que existen los CVE y el parche público, que se observó actividad en la red tras la publicación del PoC y que se descargaron/ejecutaron los artefactos antes citados desde direcciones y dominios indicados. No está confirmado, por ahora, que todas las instancias reportadas por usuarios en foros —como varios hilos en Reddit que mencionan "mylovelyminer"— provengan específicamente de la cadena Plex2Shell; hay casos en los que campañas de cryptomining reutilizan múltiples vectores. Tampoco hay una atribución pública y verificada del actor responsable ni certeza absoluta sobre la escala completa de las infecciones más allá de los indicadores observados públicamente.

Para quienes prefieren referencias técnicas oficiales, los registros CVE asociados ya están publicados en bases públicas como MITRE (CVE-2026-96652, CVE-2026-96656) y Plex mantiene su página de descargas y actualizaciones en https://www.plex.tv/media-server-downloads/. Para entender la pieza de minería técnica, XMRig (el software de minería generalmente detectado en estas campañas) documenta su protocolo de conexión en https://xmrig.com.

Qué debe hacer el administrador o usuario de Plex: primero y de forma urgente, compruebe la versión de Plex Media Server; si es anterior a 1.43.3.10861, actualice inmediatamente a la versión parcheada o a una posterior. Si la instancia está expuesta a Internet, aisle el servicio hasta haber actualizado. Si sospecha compromiso, proceda con estas acciones concretas: 1) desconectar la máquina de la red externa; 2) realizar un volcado forense de memoria y una imagen del disco si dispone de capacidades de análisis; 3) buscar procesos con nombres inusuales (por ejemplo "mylovelyminer", "myawesomeproxy") y conexiones salientes hacia los dominios/IPs indicados; 4) inspeccionar directorios de Plex para archivos ELF no autorizados dentro de las carpetas Codecs (ver la ubicación típica en su distribución; p. ej. en Linux suele estar bajo el árbol de datos de Plex Media Server) y eliminar binarios no reconocidos; 5) revisar unidades systemd/crontab y scripts de arranque para persistencia; 6) rotar credenciales administrativas y tokens expuestos, y 7) reinstalar el sistema si hay indicios de intrusión profunda o persistente.

En paralelo, aplique controles de prevención: restringa el acceso al servidor Plex mediante firewall (permitir solo redes de confianza), deshabilite UPnP/auto‑port‑forwarding en routers, ponga Plex detrás de un VPN o proxy inverso que haga autenticación previa y limite los privilegios del usuario que ejecuta Plex para evitar escritura en sus propios directorios críticos. Registre y monitorice conexiones salientes frecuentes hacia los IOC conocidos (IPs y dominios citados arriba) y bloquéelos en perímetro.

Finalmente, documente y reporte cualquier hallazgo: si detecta evidencia de compromiso, capture logs, notifique a su proveedor de hosting si aplica y compare indicadores con fuentes de inteligencia pública antes de intentar una remediación local. La rapidez para aplicar parches y la segmentación de redes siguen siendo las barreras más eficaces contra este tipo de cadenas que transforman fallos de validación en ejecución remota y uso ilícito de recursos.