Sulmet Plex2Shell instalojnë programe miner dhe një Linux backdoor
Sulmet Plex2Shell kanë filluar të synojnë instalime të cenueshme të Plex Media Server, ndërsa në sistemet e komprometuara të vëzhguara është instaluar software për mining të kriptomonedhave dhe një Linux backdoor që mund të përcjellë trafikun e internetit të palëve të tjera. Aktiviteti u regjistrua një ditë pasi u bë publik kodi proof-of-concept (PoC), një demonstrim publik se si mund të shfrytëzohet një dobësi. Një studiues sigurie që përdor pseudonimin boredhackerblog ia atribuon sulmet një zinxhiri prej katër dobësish që mund të mundësojnë remote code execution pa autentikim, që do të thotë se një sulmues mund të ekzekutojë kod në një server pa u identifikuar më parë.
Zinxhiri fillon me CVE-2026-96652, të vlerësuar me 5.3 sipas Common Vulnerability Scoring System (CVSS), një shkallë standarde për përshkrimin e ashpërsisë së dobësive. Bëhet fjalë për një dobësi server-side request forgery (SSRF), e cila i lejon një sulmuesi ta bëjë server-in e prekur të dërgojë një kërkesë drejt një destinacioni tjetër. Problemi ndodhet në endpoint-in /player/timeline, ku Plex fut një parametër protocol të pakontrolluar në URL-në e një player-i. Një sulmues i paautentikuar mund ta përdorë këtë sjellje për ta bërë server-in të dërgojë një kërkesë POST drejt një destinacioni të zgjedhur.
Faza e dytë, CVE-2026-96654, ka një rezultat CVSS prej 6.9 dhe prek endpoint-in searchOne. Plex nuk i neutralizon siç duhet vlerat URL të dhëna përmes këtij endpoint-i, duke i lejuar një sulmuesi të aktivizojë funksione që u përkasin plugins të tjerë, të cilët janë shtesa software-i, dhe të japë parametra të kontrolluar prej tij. Sipas përshkrimit teknik, ky hap mund të ekspozojë admin token të pronarit, një vlerë sekrete që jep akses administrativ pa kërkuar rifutjen e fjalëkalimit.
Më pas, CVE-2026-96655, e vlerësuar me 5.3, i lejon dikujt që zotëron owner token të dërgojë kërkesa drejt adresave të brendshme ose të jashtme sipas dëshirës përmes path parameter /video/:/transcode/universal. Një shembull i përshkruar nga studiuesi përfshin marrjen e një videoje të hostuar nga sulmuesi, e cila mbart një payload keqdashës në formatin Executable and Linkable Format (ELF), një lloj skedari programi që përdoret në sistemet Linux. Dobësia e fundit, CVE-2026-96656, është vlerësuar me 8.6 dhe i lejon një sulmuesi të kontrollojë se ku vendoset një ELF shared object, një komponent programi Linux, brenda direktorisë Codecs përpara se të ekzekutohet. Kur përdoren në këtë rend, të katër problemet krijojnë një rrugë nga një kërkesë e paautentikuar deri te code execution në server-in Plex.
Dobësitë iu raportuan Plex më 27 korrik 2026, së bashku me CVE-2026-96651, e cila ka një rezultat CVSS prej 7.1. Plex Media Server 1.43.3.10861, i publikuar më 3 gusht 2026, korrigjoi dobësitë e raportuara. Informacioni teknik për zinxhirin Plex2Shell u bë publik më 16 tetor 2026 dhe përpjekjet për shfrytëzim në sisteme reale u regjistruan të nesërmen. Kjo kronologji e bën përditësimin veçanërisht të rëndësishëm për instalimet që vazhdojnë të përdorin një release më të vjetër.
Sulmet e vëzhguara shkarkuan një cryptocurrency miner nga 217.60.194[.]116. Trafiku i raportuar i sulmeve erdhi nga 91.92.40[.]202, 176.65.139[.]228 dhe 45.194.92[.]222, ndërsa 176.65.139[.]228 shfaqej dy herë në listën e publikuar. XMRig miner i instaluar, software që përdor fuqinë përpunuese të një kompjuteri të komprometuar për të gjeneruar kriptomonedha, funksiononte me emrin mylovelyminer dhe lidhej me server-in e mining ota.proxystream[.]st.
Sulmuesit instaluan gjithashtu një artefakt të quajtur myawesomeproxy. VirusTotal e përshkruan atë si një Linux backdoor të fshehtë dhe reverse proxy, software që mund t'i drejtojë lidhjet e rrjetit përmes pajisjes së komprometuar. Kur ekzekutohet, ai shfaq një mesazh ku thuhet se përdorimi i software-it nënkupton pranimin e mundësisë që trafiku i internetit i pajisjes të përdoret nga palë të jashtme. Bitsight kishte sinjalizuar më parë një host tjetër nën të njëjtin domain, global.relay.proxystream[.]st, në gusht 2026, në lidhje me botnet-in AISURU për distributed denial-of-service (DDoS) dhe proxyware. Një sulm DDoS mbingarkon një shërbim online me trafik derisa ai të bëhet i padisponueshëm, ndërsa proxyware e vë lidhjen e një pajisjeje në dispozicion për përcjelljen e trafikut tjetër.
Postimet në Reddit tregojnë se disa përdorues të Plex gjetën të njëjtin payload mylovelyminer në sistemet e tyre. Megjithatë, mbetet e pakonfirmuar nëse këto infektime të veçanta erdhën nga shfrytëzimi i Plex2Shell. Plex u kishte kërkuar gjithashtu klientëve, më shumë se një muaj më parë, të instalonin release-in më të fundit pasi një përditësim adresoi disa probleme sigurie të paspecifikuara, por nuk është e qartë nëse ai njoftim i përfshinte këto dobësi. The Hacker News kontaktoi Plex për koment, por në raportimin mbi sulmet nuk u përmend asnjë përgjigje.
Administratorët duhet të përditësojnë Plex Media Server dhe të hetojnë sistemet që mbetën të papërditësuara pasi detajet teknike u bënë publike. Instalimi i një miner dhe i një backdoor që përcjell trafik nënkupton se komprometimi mund të konsumojë burimet e host-it, ndërkohë që lejon edhe përdorimin e jashtëm të lidhjes së tij të internetit. Për organizatat që kanë nevojë për ndihmë në mirëmbajtjen e sistemeve të ekspozuara ndaj internetit, AEU-I ofron shërbime IT, infrastrukture dhe konsulence me sigurinë si përparësi. Çdo server ku gjenden payload-et e përmendura duhet të trajtohet si potencialisht i komprometuar dhe jo të konsiderohet i sigurt vetëm sepse ndërkohë është përditësuar.