Quatre Plex2 Shell CVE permet l'exécution à distance et l'extraction et le déploiement de backdoor mandataire

Ces derniers jours, une augmentation des attaques a été confirmée qui profitent d'une chaîne de défaillances dans Plex Media Server - surnommé "Plex2Shell" par les chercheurs - pour exécuter le code à distance et déployer à la fois cryptomineros et un mandataire / inverse avec la fonctionnalité de porte arrière. Les jugements, initialement communiqués à Plex le 27 juillet 2026 et corrigés dans la version 1 43.3.10861 publiée le 3 août 2026, ont été combinés par des agresseurs à la suite de la publication d'une preuve de concept (PoC) le 16 octobre 2026, et les tentatives d'exploitation ont été enregistrées par nature le lendemain.

Ce qui s'est passé (faits confirmés): un chercheur opérant sous le pseudonyme seeninghackerblog a décrit une chaîne de quatre vulnérabilités (CVE-2026-96652, CVE-2026-96654, CVE-2026-96655 et CVE-2026-96656) qui, enchaîné dans un ordre spécifique, permettent de passer d'une demande web non validée à une exécution à distance de code sans authentification dans des cas vulnérables de Plex. Plx a publié un patch dans la version 1.43.3.10861 pour corriger ces défaillances. Puis il y a eu des tentatives d'exploitation qui ont abouti à la décharge et à l'exécution de deux artefacts: un binaire appelé "myawesomeproxy" - identifié par l'analyse publique comme une porte arrière / inverse-proxy pour Linux - et un processus d'extraction XMRig sous le nom "mylovelyminer" qui a contacté le domaine ota.proxystream [.] st. Les analystes ont également établi une corrélation entre l'activité du réseau et les adresses IP publiques utilisées par les attaquants (p. ex. 217 60 194.116 et les IP 91 92 40 202, 176 65 139.228, 45 194.92.222).

Comment fonctionne la chaîne techniquement: chaque satellite CVE fournit un lien à l'échelle d'une demande initiale à l'exécution d'un ELF contrôlé par l'attaquant. Résumant son rôle, sans jouer l'explosion étape par étape : l'un des paramètres contrôlés par l'attaquant peut être inséré dans une URL utilisée par le lecteur Plx (SSRF dans / player / timeline), l'autre permet d'invoquer les fonctions du plugin et d'obtenir le jeton du propriétaire (token escape via / searchOne), un troisième permet à un jeton valide de demander des ressources arbitraires (SSRF dans la route de transcodage), et ce dernier permet d'écrire un objet partagé ELF dans le dossier Codecs et de forcer sa charge et son exécution. Dans les chaînes, ces vecteurs convertissent une requête web malveillante en exécution à distance sans besoin d'identifications.

Qui elle affecte: Plex Media Les instances serveur qui n'ont pas été mises à jour et sont accessibles depuis le réseau (Internet ou un réseau interne non segmenté). Le risque est plus élevé dans les serveurs avec des ports exposés, dans les installations qui permettent l'installation automatique de codecs ou de plugins, ou dans les environnements où le processus Plex fonctionne avec des privilèges élevés ou avec la capacité d'écrire sur son propre arborescence de fichiers.

Impact observé: déploiement d'un cryptologue XMRig et d'un proxy avec fonctionnalité de porte arrière. Le proxy ("myawesomeproxy") signale en commençant par un message qui, selon le chercheur, avertit que le logiciel peut utiliser le trafic réseau de l'hôte; c'est une confirmation opérationnelle que la machine engagée peut être réutilisée comme un saut de sortie / relais pour le trafic étranger. De plus, les liens entre les sous-domaines proxystream [.] st et les activités antérieures de botnets / proxyware ont été documentés par des tiers (p. ex. les rapports de sécurité qui relient global.relay.proxystream [.] st aux campagnes AISURU en août 2026).

Ce qui est confirmé et ce qui n'est pas: est confirmé qu'il y a des QE et le patch public, que l'activité a été observée dans le réseau suite à la publication du PoC et que les artefacts mentionnés ci-dessus ont été téléchargés / exécutés à partir des directions et domaines indiqués. Il n'est pas confirmé, pour l'instant, que tous les cas signalés par les utilisateurs dans les forums - comme plusieurs threads dans Reddit qui mentionnent "mylovelyminer" - viennent spécifiquement de la chaîne Plex2Shell; il y a des cas dans lesquels les campagnes de chiffrement réutiliser plusieurs vecteurs. Il n'y a pas non plus d'attribution publique et vérifiée de l'acteur responsable ou de certitude absolue quant à l'ampleur complète des infections au-delà des indicateurs publiquement observés.

Pour ceux qui préfèrent les références techniques officielles, les enregistrements CVE associés sont déjà publiés sur des bases publiques telles que MITRE ( CVE-2026-96652, CVE-2026-96656) et Plex garde sa page de téléchargement et de mise à jour sur https: / / www.plex.tv / media-serveur-téléchargement /. Pour comprendre la pièce d'extraction technique, XMRig (le logiciel minier généralement détecté dans ces campagnes) documente son protocole de connexion en https: / / xmrig.com.

Ce que l'administrateur ou l'utilisateur de Plx doit faire: d'abord et d'urgence vérifier la version de Plx Media Server ; si elle est avant 1 43.3.10861, mettre à jour immédiatement la version parachevée ou une version ultérieure. Si l'instance est exposée à Internet, isoler le service jusqu'à sa mise à jour. Si vous soupçonnez un engagement, procédez à ces actions spécifiques : (1) déconnecter la machine du réseau externe ; (2) effectuer un renversement de mémoire médico-légale et une image disque si vous avez des capacités d'analyse ; (3) rechercher des processus avec des noms inhabituels (par exemple « mylovelyminer », « myawesomeproxy ») et des connexions sortantes aux domaines / IP indiqués ; (4) inspecter les répertoires Plex pour les fichiers ELF non autorisés dans les dossiers Codens (voir l'emplacement typique dans leur distribution ; par exemple dans Linux, il est habituellement sous l'arborescence de données Plex / PI indiquée ; et (6) réinstaller l'arrêt-stop-stop-stop-stop-stop-stop-stop-stop-stop-stop-stop-stop-stop-stop-stop-stop-stop-stop-stop-stop-stop-stop-stop-stop-stop-stop-stop-stop-stop-stop-stop-stop-stop-stop-stop-stop-s-

En parallèle, appliquez des contrôles de prévention : il limite l'accès au serveur Plex par par pare-feu (ne permettant que des réseaux fiables), désactivez UPnP / auto-port-transfert dans les routeurs, placez Plex derrière un VPN ou un mandataire inverse qui effectue une authentification préalable et limite les privilèges de l'utilisateur exécutant Plex pour éviter d'écrire dans leurs propres répertoires critiques. Enregistrer et surveiller les connexions sortantes fréquentes au CIO connu (PI et domaines cités ci-dessus) et les bloquer dans le périmètre.

Enfin, documentez et déclarez toutes les constatations : si vous détectez des preuves d'engagement, saisissez des journaux, avisez votre fournisseur d'hébergement si vous appliquez et comparez des indicateurs avec des sources de renseignement public avant d'essayer une réhabilitation locale. La rapidité d'application des correctifs et la segmentation des réseaux demeurent les obstacles les plus efficaces à ces types de chaînes qui transforment les défaillances de validation en exécution à distance et en utilisation illicite des ressources.