Исследователи сообщили об атаках на Plex Media Server с использованием цепочки уязвимостей Plex2Shell. Она позволяет без авторизации добиться удалённого выполнения кода. Среди обнаруженных вредоносных программ — майнер криптовалюты и Linux-бэкдор, способный работать как обратный прокси.
По данным исследователя boredhackerblog, цепочка объединяет четыре уязвимости. CVE-2026-96652, оценённая в 5,3 балла по CVSS, затрагивает конечную точку /player/timeline. Параметр protocol без проверки попадает в URL плеера, который формируется программно. Из-за этого сервер Plex можно заставить отправить POST-запрос на выбранный злоумышленником адрес.
CVE-2026-96654 имеет оценку CVSS 6,9. В конечной точке searchOne недостаточно корректно обрабатываются значения URL: это может позволить вызвать функции других плагинов и передать им параметры, чтобы получить административный токен владельца сервера.
Затем может использоваться CVE-2026-96655 (CVSS 5,3). Эта SSRF-уязвимость позволяет пользователю с авторизацией, например обладателю токена владельца, обращаться к произвольным внутренним или внешним адресам через параметр пути /video/:/transcode/universal. В качестве одного из вариантов исследователь описывает видео с вредоносным ELF-файлом, размещённое на сервере атакующего.
Последнее звено — CVE-2026-96656 с оценкой CVSS 8,6. Ошибка позволяет записать ELF-библиотеку в выбранное злоумышленником место в каталоге Codecs и выполнить её. В сочетании именно в таком порядке четыре уязвимости могут привести к удалённому выполнению кода без авторизации.
Исследователь Zach Main сообщил Plex об уязвимостях 27 июля 2026 года. В уведомление также вошла CVE-2026-96651 (CVSS 7,1), но описание этой уязвимости в опубликованных сведениях отсутствует. Plex выпустила исправления в версии Plex Media Server 1.43.3.10861 3 августа. Технические подробности Plex2Shell стали публичными 16 октября, а уже на следующий день, согласно сообщению, зафиксировали попытки эксплуатации в реальных атаках.
Вредоносные файлы, как сообщается, загружались с узла 217.60.194[.]116. В отчёте также перечислены адреса 92.40[.]202, 176.65.139[.]228 (он указан дважды) и 45.194.92[.]222. Среди доставленных файлов был myawesomeproxy. VirusTotal определяет его как скрытный Linux-бэкдор и обратный прокси. При запуске программа выводит предупреждение: «Запуская это ПО на любом из своих устройств, вы соглашаетесь с возможным использованием вашего интернет-трафика внешними лицами».
Второй обнаруженный компонент, mylovelyminer, — майнер XMRig. Он подключается к серверу ota.proxystream[.]st. В августе 2026 года Bitsight связала другой поддомен той же инфраструктуры, global.relay.proxystream[.]st, с ботнетом AISURU, использующимся для DDoS-атак и прокси-сервисов.
Пользователи Reddit сообщали о взломанных серверах Plex, на которых обнаружили тот же майнер mylovelyminer. При этом неизвестно, были ли эти случаи связаны именно с Plex2Shell. В публикации также говорится, что неясно, относятся ли перечисленные уязвимости к «этому предупреждению». The Hacker News запросило комментарий Plex и сообщило, что обновит материал, если получит ответ.
Поскольку попытки эксплуатации уже зафиксированы, пользователям Plex стоит установить актуальную версию. В опубликованных данных исправленной указана Plex Media Server 1.43.3.10861, выпущенная 3 августа 2026 года.
Изображение носит иллюстративный характер
По данным исследователя boredhackerblog, цепочка объединяет четыре уязвимости. CVE-2026-96652, оценённая в 5,3 балла по CVSS, затрагивает конечную точку /player/timeline. Параметр protocol без проверки попадает в URL плеера, который формируется программно. Из-за этого сервер Plex можно заставить отправить POST-запрос на выбранный злоумышленником адрес.
CVE-2026-96654 имеет оценку CVSS 6,9. В конечной точке searchOne недостаточно корректно обрабатываются значения URL: это может позволить вызвать функции других плагинов и передать им параметры, чтобы получить административный токен владельца сервера.
Затем может использоваться CVE-2026-96655 (CVSS 5,3). Эта SSRF-уязвимость позволяет пользователю с авторизацией, например обладателю токена владельца, обращаться к произвольным внутренним или внешним адресам через параметр пути /video/:/transcode/universal. В качестве одного из вариантов исследователь описывает видео с вредоносным ELF-файлом, размещённое на сервере атакующего.
Последнее звено — CVE-2026-96656 с оценкой CVSS 8,6. Ошибка позволяет записать ELF-библиотеку в выбранное злоумышленником место в каталоге Codecs и выполнить её. В сочетании именно в таком порядке четыре уязвимости могут привести к удалённому выполнению кода без авторизации.
Исследователь Zach Main сообщил Plex об уязвимостях 27 июля 2026 года. В уведомление также вошла CVE-2026-96651 (CVSS 7,1), но описание этой уязвимости в опубликованных сведениях отсутствует. Plex выпустила исправления в версии Plex Media Server 1.43.3.10861 3 августа. Технические подробности Plex2Shell стали публичными 16 октября, а уже на следующий день, согласно сообщению, зафиксировали попытки эксплуатации в реальных атаках.
Вредоносные файлы, как сообщается, загружались с узла 217.60.194[.]116. В отчёте также перечислены адреса 92.40[.]202, 176.65.139[.]228 (он указан дважды) и 45.194.92[.]222. Среди доставленных файлов был myawesomeproxy. VirusTotal определяет его как скрытный Linux-бэкдор и обратный прокси. При запуске программа выводит предупреждение: «Запуская это ПО на любом из своих устройств, вы соглашаетесь с возможным использованием вашего интернет-трафика внешними лицами».
Второй обнаруженный компонент, mylovelyminer, — майнер XMRig. Он подключается к серверу ota.proxystream[.]st. В августе 2026 года Bitsight связала другой поддомен той же инфраструктуры, global.relay.proxystream[.]st, с ботнетом AISURU, использующимся для DDoS-атак и прокси-сервисов.
Пользователи Reddit сообщали о взломанных серверах Plex, на которых обнаружили тот же майнер mylovelyminer. При этом неизвестно, были ли эти случаи связаны именно с Plex2Shell. В публикации также говорится, что неясно, относятся ли перечисленные уязвимости к «этому предупреждению». The Hacker News запросило комментарий Plex и сообщило, что обновит материал, если получит ответ.
Поскольку попытки эксплуатации уже зафиксированы, пользователям Plex стоит установить актуальную версию. В опубликованных данных исправленной указана Plex Media Server 1.43.3.10861, выпущенная 3 августа 2026 года.
