Plex2Shell-Exploits schleusen cryptocurrency miners und proxy malware ein
Plex2Shell-Schwachstellen in Plex Media Server werden aktiv ausgenutzt, um cryptocurrency miners und proxy malware zu installieren. Dies geht aus einem Bericht über die Ausnutzung hervor, der zitiert wurde, nachdem die Schwachstellen in den Known Exploited Vulnerabilities (KEV)-Katalog der US-amerikanischen Cybersecurity and Infrastructure Security Agency aufgenommen worden waren. Der Katalog führt Sicherheitslücken auf, für die Belege für eine tatsächliche Ausnutzung vorliegen. Damit stellen diese Einträge ein unmittelbares betriebliches Problem und nicht nur ein theoretisches Risiko dar.
Die vier Schwachstellen in Plex Media Server können laut dem Sicherheitsforscher, der sie entdeckt und gemeldet hat, zu einer attack chain kombiniert werden, die einem entfernten Angreifer eine nicht authentifizierte remote code execution ermöglicht. Praktisch bedeutet dies, dass sich der Angreifer nicht anmelden müsste, bevor er den Server dazu bringt, ausgewählten Code auszuführen. Plex behob die Probleme in Plex Media Server 1.43.3.10861, das am 3. August 2026 veröffentlicht wurde.
Bei zwei der Sicherheitslücken handelt es sich um server-side request forgery (SSRF), wodurch ein Server veranlasst werden kann, von einem Angreifer ausgewählte Anfragen zu senden. CVE-2026-96652 und CVE-2026-96655 haben jeweils einen Wert von 5,3 im Common Vulnerability Scoring System (CVSS). CVSS ist eine Standardskala zur Beschreibung des technischen Schweregrads einer Schwachstelle.
CVE-2026-96654 mit einem CVSS-Wert von 6,9 betrifft die unsachgemäße Verarbeitung codierter Uniform Resource Identifier (URI)-Schemes auf einer Webseite. Ein URI-Scheme ist der erste Teil einer Adresse, der Software mitteilt, wie mit einer Ressource umzugehen ist. CVE-2026-96656 hat einen CVSS-Wert von 8,6 und ermöglicht die externe Kontrolle über einen Dateinamen oder Pfad. Obwohl sich die vier Einzelwerte unterscheiden, entsteht das gemeldete Risiko durch die Verkettung der Schwachstellen, um remote code execution zu erreichen.
Der Sicherheitsforscher boredhackerblog berichtete, dass Angreifer die Plex2Shell-Kette als Waffe einsetzen, um zwei Arten unerwünschter Software zu verbreiten. Cryptocurrency miners verbrauchen die Rechenressourcen eines kompromittierten Computers, um kryptowährungsbezogene Berechnungen durchzuführen. Proxy malware verwandelt das betroffene System in eine Zwischenstation, über die anderer Netzwerkverkehr geleitet werden kann. Diese Ausnutzung bedeutet, dass Administratoren die Installation der korrigierten Plex-Version nicht als routinemäßige Wartungsaufgabe behandeln sollten.
CISA kennzeichnete außerdem CVE-2026-110936 in Siemens Software Center als aktiv ausgenutzt. Die Schwachstelle hat einen CVSS-Wert von 8,4 und betrifft DLL sideloading, eine Technik, bei der Software dazu gebracht wird, anstelle der erwarteten Komponente eine unbeabsichtigte Dynamic Link Library zu laden. Die Schwachstelle wurde bei Angriffen missbraucht, die als ClickFix bezeichnet werden und eine Plattform namens Romulus verwenden.
Das andere aktiv ausgenutzte Problem ist CVE-2026-106931, eine command injection-Schwachstelle in EG Secure Solutions SiteGuard Server Edition. Command injection ermöglicht es, vom Angreifer bereitgestellte Anweisungen an das Betriebssystem weiterzugeben. Die Schwachstelle hat einen CVSS-Wert von 8,5, und das japanische Unternehmen bestätigte, dass sie ausgenutzt wurde. Derzeit liegen keine weiteren Informationen über diese Ausnutzungsaktivitäten vor.
CISA fordert Behörden der Federal Civilian Executive Branch (FCEB) dazu auf, die Korrekturen für CVE-2026-106931, CVE-2026-96656 und CVE-2026-96654 bis zum 23. Oktober 2026 zu installieren. Die Frist für CVE-2026-96652, CVE-2026-96655 und CVE-2026-110936 endet am 3. November 2026. Diese Fristen gelten unmittelbar für die von der Anweisung erfassten Bundesbehörden. Die bestätigte Ausnutzung ist jedoch auch für andere Organisationen relevant, die die betroffenen Produkte einsetzen.
Websitebetreiber, Hosting-Teams und IT-Administratoren von Unternehmen sollten ihre Systeme auf Plex Media Server, Siemens Software Center und SiteGuard Server Edition überprüfen und anschließend sicherstellen, dass verfügbare Herstellerkorrekturen installiert wurden. Da Angreifer bereits über Plex2Shell Malware verbreiten, schließt ein Update zwar die gemeldeten Schwachstellen, zeigt allein jedoch nicht, ob eine Installation bereits vor dem Patch kompromittiert wurde. Organisationen mit betroffenen oder möglicherweise zugänglichen Systemen sollten die Installation der Patches daher mit einer Prüfung auf unerwartete Software und ungewöhnliche Netzwerkaktivitäten verbinden.
Für Organisationen, die Unterstützung beim Umgang mit solchen technischen Risiken benötigen, bietet AEU-I sicherheitsorientierte IT-, Infrastruktur- und Beratungsleistungen an. Oberste Priorität bleibt, betroffene Installationen zu identifizieren, die genannten Korrekturen innerhalb der jeweiligen Fristen anzuwenden und zuvor verwundbare Plex-Systeme auf die gemeldeten cryptocurrency miners oder proxy malware zu überprüfen.