Gli attacchi Plex2Shell distribuiscono miner e una backdoor Linux
Gli attacchi Plex2Shell hanno iniziato a prendere di mira installazioni vulnerabili di Plex Media Server; nelle compromissioni osservate sono stati distribuiti software per il mining di criptovalute e una backdoor Linux capace di inoltrare il traffico internet di terzi. L'attività è stata rilevata un giorno dopo che è diventato disponibile un codice proof-of-concept (PoC), una dimostrazione pubblica di come una falla possa essere sfruttata. Un ricercatore di sicurezza che utilizza lo pseudonimo boredhackerblog attribuisce gli attacchi a una catena di quattro vulnerabilità in grado di consentire remote code execution senza autenticazione, permettendo a un attaccante di eseguire codice su un server senza prima effettuare l'accesso.
La catena inizia con CVE-2026-96652, che ha ricevuto un punteggio di 5.3 secondo il Common Vulnerability Scoring System (CVSS), una scala standard per descrivere la gravità delle vulnerabilità. Si tratta di una falla di server-side request forgery (SSRF), che consente a un attaccante di far inviare al server interessato una richiesta verso un'altra destinazione. Il problema si trova nell'endpoint /player/timeline, dove Plex inserisce un parametro protocol non verificato nell'URL di un player. Un attaccante non autenticato può sfruttare questo comportamento per fare in modo che il server invii una richiesta POST a una destinazione scelta.
La seconda fase, CVE-2026-96654, ha un punteggio CVSS di 6.9 e interessa l'endpoint searchOne. Plex non neutralizza correttamente i valori URL forniti tramite questo endpoint, consentendo a un attaccante di richiamare funzioni appartenenti ad altri plugin, cioè estensioni software, e di fornire parametri sotto il proprio controllo. Secondo il resoconto tecnico, questo passaggio può esporre l'admin token del proprietario, un valore segreto che concede accesso amministrativo senza richiedere di inserire nuovamente la password.
CVE-2026-96655, con un punteggio di 5.3, consente quindi a chi possiede l'owner token di effettuare richieste verso indirizzi interni o esterni arbitrari tramite il path parameter /video/:/transcode/universal. Un esempio descritto dal ricercatore riguarda il recupero di un video ospitato dall'attaccante e contenente un payload Executable and Linkable Format (ELF) malevolo, un tipo di file di programma utilizzato sui sistemi Linux. La falla finale, CVE-2026-96656, ha un punteggio di 8.6 e consente a un attaccante di controllare dove viene collocato un ELF shared object, un componente di programma Linux, all'interno della directory Codecs prima della sua esecuzione. Utilizzati in quest'ordine, i quattro problemi offrono un percorso che va da una richiesta non autenticata all'esecuzione di codice sul server Plex.
Le vulnerabilità sono state segnalate a Plex il 27 luglio 2026, insieme a CVE-2026-96651, che ha un punteggio CVSS di 7.1. Plex Media Server 1.43.3.10861, pubblicato il 3 agosto 2026, ha corretto le falle segnalate. Le informazioni tecniche sulla catena Plex2Shell sono diventate pubbliche il 16 ottobre 2026 e i tentativi di exploitation in-the-wild sono stati rilevati il giorno successivo. Questa tempistica rende l'aggiornamento particolarmente importante per le installazioni che utilizzano ancora una release precedente.
Nel corso degli attacchi osservati è stato scaricato un cryptocurrency miner da 217.60.194[.]116. Il traffico d'attacco segnalato proveniva da 91.92.40[.]202, 176.65.139[.]228 e 45.194.92[.]222; 176.65.139[.]228 compariva due volte nell'elenco pubblicato. Il miner XMRig distribuito, un software che utilizza la potenza di elaborazione di un computer compromesso per generare criptovaluta, veniva eseguito con il nome mylovelyminer e si collegava al server di mining ota.proxystream[.]st.
Gli attaccanti hanno installato anche un artefatto chiamato myawesomeproxy. VirusTotal lo descrive come una backdoor Linux furtiva e un reverse proxy, cioè un software in grado di instradare connessioni di rete attraverso la macchina compromessa. Quando viene eseguito, mostra un messaggio secondo cui l'utilizzo del software costituisce l'accettazione del possibile uso esterno del traffico internet del dispositivo. Nell'agosto 2026 Bitsight aveva già segnalato un altro host sullo stesso dominio, global.relay.proxystream[.]st, in relazione alla botnet AISURU di tipo distributed denial-of-service (DDoS) e proxyware. Un attacco DDoS sovraccarica di traffico un servizio online fino a renderlo indisponibile, mentre il proxyware rende disponibile la connessione di un dispositivo per inoltrare altro traffico.
Alcuni post su Reddit indicano che diversi utenti Plex hanno trovato lo stesso payload mylovelyminer sui propri sistemi. Tuttavia, non è stato confermato se quelle specifiche infezioni siano derivate dall'exploitation di Plex2Shell. Più di un mese prima Plex aveva inoltre invitato i clienti a installare la release più recente, dopo che un aggiornamento aveva risolto diversi problemi di sicurezza non specificati, ma non è chiaro se quell'avviso riguardasse queste vulnerabilità. The Hacker News ha contattato Plex per un commento, ma nel resoconto degli attacchi non è stata riportata alcuna risposta.
Gli amministratori dovrebbero aggiornare Plex Media Server e svolgere indagini sui sistemi rimasti privi di patch dopo la pubblicazione dei dettagli tecnici. La distribuzione sia di un miner sia di una backdoor per l'inoltro del traffico comporta che una compromissione possa consumare le risorse dell'host e, al tempo stesso, consentire l'uso esterno della sua connessione internet. Per le organizzazioni che necessitano di assistenza nella gestione di sistemi esposti a internet, AEU-I offre servizi IT, infrastrutturali e di consulenza orientati anzitutto alla sicurezza. Qualsiasi server su cui siano presenti i payload indicati deve essere considerato potenzialmente compromesso, anziché ritenuto sicuro soltanto perché nel frattempo è stato aggiornato.