Plex2Shell-Angriffe installieren Miner und eine Linux backdoor
Plex2Shell-Angriffe haben begonnen, verwundbare Plex Media Server-Installationen ins Visier zu nehmen. Bei beobachteten Kompromittierungen wurden cryptocurrency miner und eine Linux backdoor installiert, die den Internetverkehr anderer Parteien weiterleiten kann. Die Aktivität wurde einen Tag nach der Veröffentlichung von proof-of-concept (PoC)-Code registriert, einer öffentlichen Demonstration, wie eine Schwachstelle ausgenutzt werden kann. Ein Sicherheitsforscher mit dem Alias boredhackerblog führt die Angriffe auf eine Kette aus vier Schwachstellen zurück, die unauthentifizierte remote code execution ermöglichen kann. Das bedeutet, dass ein Angreifer Code auf einem Server ausführen kann, ohne sich zuvor anzumelden.
Die Kette beginnt mit CVE-2026-96652, die nach dem Common Vulnerability Scoring System (CVSS), einer Standardskala zur Beschreibung des Schweregrads von Schwachstellen, mit 5,3 bewertet wurde. Es handelt sich um eine server-side request forgery (SSRF)-Schwachstelle, über die ein Angreifer den betroffenen Server dazu bringen kann, eine Anfrage an ein anderes Ziel zu senden. Das Problem befindet sich im /player/timeline endpoint, wo Plex einen ungeprüften Protokollparameter in eine Player-URL einfügt. Ein nicht authentifizierter Angreifer kann dieses Verhalten nutzen, um den Server eine POST request an ein ausgewähltes Ziel senden zu lassen.
Die zweite Stufe, CVE-2026-96654, hat einen CVSS-Wert von 6,9 und betrifft den searchOne endpoint. Plex neutralisiert URL-Werte, die über diesen endpoint übermittelt werden, nicht ordnungsgemäß. Dadurch kann ein Angreifer Funktionen anderer plugins aufrufen, bei denen es sich um Softwareerweiterungen handelt, und vom Angreifer kontrollierte Parameter bereitstellen. Laut der technischen Beschreibung kann dieser Schritt den admin token des Eigentümers offenlegen, einen geheimen Wert, der administrativen Zugriff gewährt, ohne dass das Passwort erneut eingegeben werden muss.
CVE-2026-96655 mit einer Bewertung von 5,3 ermöglicht es anschließend einer Person, die über den owner token verfügt, über den path parameter /video/:/transcode/universal Anfragen an beliebige interne oder externe Adressen zu stellen. Ein vom Forscher beschriebenes Beispiel umfasst das Abrufen eines von einem Angreifer gehosteten Videos, das ein schädliches Executable and Linkable Format (ELF) payload enthält, also eine unter Linux-Systemen verwendete Art von Programmdatei. Die letzte Schwachstelle, CVE-2026-96656, wurde mit 8,6 bewertet und ermöglicht es einem Angreifer zu kontrollieren, wo ein ELF shared object, eine Linux-Programmkomponente, im Codecs-Verzeichnis abgelegt wird, bevor es ausgeführt wird. In dieser Reihenfolge eingesetzt, schaffen die vier Schwachstellen einen Weg von einer nicht authentifizierten Anfrage bis zur Codeausführung auf dem Plex-Server.
Die Schwachstellen wurden Plex am 27. Juli 2026 zusammen mit CVE-2026-96651 gemeldet, die einen CVSS-Wert von 7,1 aufweist. Plex Media Server 1.43.3.10861, veröffentlicht am 3. August 2026, patchte die gemeldeten Schwachstellen. Technische Informationen zur Plex2Shell-Kette wurden am 16. Oktober 2026 öffentlich, und bereits am folgenden Tag wurden Ausnutzungsversuche in realen Angriffen registriert. Dieser zeitliche Ablauf macht das Update für Installationen, die weiterhin eine ältere Version verwenden, besonders wichtig.
Bei den beobachteten Angriffen wurde ein cryptocurrency miner von 217.60.194[.]116 heruntergeladen. Der gemeldete Angriffsverkehr kam von 91.92.40[.]202, 176.65.139[.]228 und 45.194.92[.]222, wobei 176.65.139[.]228 in der veröffentlichten Liste zweimal aufgeführt war. Der eingesetzte XMRig miner, eine Software, die die Rechenleistung eines kompromittierten Computers zur Erzeugung von Kryptowährung nutzt, lief unter dem Namen mylovelyminer und stellte eine Verbindung zum Mining-Server ota.proxystream[.]st her.
Die Angreifer installierten außerdem ein Artefakt namens myawesomeproxy. VirusTotal beschreibt es als unauffällige Linux backdoor und reverse proxy, also als Software, die Netzwerkverbindungen über den kompromittierten Rechner leiten kann. Bei der Ausführung zeigt es eine Meldung an, laut der die Nutzung der Software als Zustimmung zu einer möglichen externen Nutzung des Internetverkehrs des Geräts gilt. Bitsight hatte bereits im August 2026 einen anderen Host unter derselben Domain, global.relay.proxystream[.]st, im Zusammenhang mit dem AISURU-botnet für distributed denial-of-service (DDoS) und proxyware gemeldet. Ein DDoS-Angriff überlastet einen Onlinedienst mit Datenverkehr, während proxyware die Verbindung eines Geräts für die Weiterleitung anderen Datenverkehrs verfügbar macht.
Beiträge auf Reddit deuten darauf hin, dass mehrere Plex-Nutzer dasselbe mylovelyminer payload auf ihren Systemen gefunden haben. Es ist jedoch weiterhin unbestätigt, ob diese konkreten Infektionen auf die Ausnutzung von Plex2Shell zurückzuführen waren. Plex hatte Kunden bereits mehr als einen Monat zuvor aufgefordert, die neueste Version zu installieren, nachdem ein Update mehrere nicht näher bezeichnete Sicherheitsprobleme behoben hatte. Es ist jedoch unklar, ob dieser Hinweis diese Schwachstellen umfasste. The Hacker News bat Plex um eine Stellungnahme; in dem Bericht über die Angriffe wurde jedoch keine Antwort genannt.
Administratoren sollten Plex Media Server aktualisieren und Systeme untersuchen, die nach der Veröffentlichung der technischen Details ungepatcht geblieben sind. Da sowohl ein Miner als auch eine Datenverkehr weiterleitende backdoor installiert wurden, kann eine Kompromittierung die Ressourcen des Hosts beanspruchen und zugleich ermöglichen, dass seine Internetverbindung extern genutzt wird. Organisationen, die Unterstützung bei der Wartung über das Internet erreichbarer Systeme benötigen, bietet AEU-I security-first IT, Infrastruktur und Beratung. Jeder Server, auf dem die genannten payloads gefunden werden, sollte als potenziell kompromittiert behandelt und nicht allein deshalb als sicher angesehen werden, weil er inzwischen aktualisiert wurde.