Gli exploit Plex2Shell distribuiscono cryptocurrency miners e proxy malware
Le vulnerabilità Plex2Shell in Plex Media Server vengono sfruttate attivamente per installare cryptocurrency miners e proxy malware, secondo un rapporto sullo sfruttamento citato dopo l'inserimento delle falle nel catalogo Known Exploited Vulnerabilities (KEV) della Cybersecurity and Infrastructure Security Agency degli Stati Uniti. Il catalogo identifica le falle di sicurezza per le quali esistono prove di sfruttamento nel mondo reale, rendendo queste voci un problema operativo immediato anziché un rischio teorico.
Le quattro vulnerabilità di Plex Media Server possono essere combinate in una attack chain che consente a un aggressore remoto di ottenere remote code execution senza autenticazione, secondo il ricercatore di sicurezza che le ha scoperte e segnalate. In termini pratici, l'aggressore non avrebbe bisogno di effettuare l'accesso prima di far eseguire al server il codice scelto. Plex ha risolto i problemi in Plex Media Server 1.43.3.10861, rilasciato il 3 agosto 2026.
Due delle falle sono vulnerabilità server-side request forgery (SSRF), che possono indurre un server a inviare richieste selezionate da un aggressore. CVE-2026-96652 e CVE-2026-96655 hanno entrambe un punteggio Common Vulnerability Scoring System (CVSS) di 5,3. CVSS è una scala standard per descrivere la gravità tecnica di una vulnerabilità.
CVE-2026-96654, con un punteggio CVSS di 6,9, riguarda la gestione impropria di schemi Uniform Resource Identifier (URI) codificati in una pagina web. Uno schema URI è la parte iniziale di un indirizzo che indica al software come deve essere gestita una risorsa. CVE-2026-96656 ha un punteggio CVSS di 8,6 e consente il controllo esterno del nome o del percorso di un file. Sebbene i quattro punteggi individuali siano diversi, il rischio segnalato deriva dalla combinazione delle falle per ottenere remote code execution.
Il ricercatore di sicurezza boredhackerblog ha riferito che gli aggressori stanno trasformando la chain Plex2Shell in uno strumento d'attacco per distribuire due tipi di software indesiderato. I cryptocurrency miners consumano le risorse di elaborazione di una macchina compromessa per eseguire calcoli legati alle criptovalute. Il proxy malware trasforma il sistema interessato in un intermediario in grado di trasportare altro traffico di rete. Questo sfruttamento significa che gli amministratori non devono considerare l'installazione della versione corretta di Plex come una normale attività di manutenzione.
CISA ha inoltre segnalato come attivamente sfruttata CVE-2026-110936 in Siemens Software Center. La vulnerabilità ha un punteggio CVSS di 8,4 e riguarda il DLL sideloading, una tecnica con cui un software viene indotto a caricare una Dynamic Link Library non prevista al posto del componente atteso. La falla è stata sfruttata in attacchi identificati come ClickFix che utilizzano una piattaforma chiamata Romulus.
L'altro problema sfruttato attivamente è CVE-2026-106931, una vulnerabilità command injection in EG Secure Solutions SiteGuard Server Edition. Il command injection consente di passare al sistema operativo istruzioni fornite da un aggressore. La falla ha un punteggio CVSS di 8,5 e l'azienda giapponese ha confermato che è stata sfruttata. Al momento non sono disponibili ulteriori informazioni su tale attività di sfruttamento.
CISA sta esortando le agenzie Federal Civilian Executive Branch (FCEB) ad applicare le correzioni per CVE-2026-106931, CVE-2026-96656 e CVE-2026-96654 entro il 23 ottobre 2026. La scadenza per CVE-2026-96652, CVE-2026-96655 e CVE-2026-110936 è il 3 novembre 2026. Queste scadenze si applicano direttamente alle agenzie federali interessate dalla direttiva, ma lo sfruttamento confermato è rilevante anche per le altre organizzazioni che utilizzano i prodotti coinvolti.
I proprietari di siti web, i team di hosting e gli amministratori IT aziendali devono verificare la presenza di Plex Media Server, Siemens Software Center e SiteGuard Server Edition nei propri sistemi, quindi confermare che siano state applicate le correzioni disponibili dei fornitori. Poiché gli aggressori stanno già distribuendo malware tramite Plex2Shell, l'aggiornamento corregge le vulnerabilità segnalate, ma da solo non permette di stabilire se un'installazione sia stata compromessa prima dell'applicazione della patch. Le organizzazioni con sistemi interessati o potenzialmente esposti devono quindi affiancare all'applicazione delle patch una verifica della presenza di software imprevisto e di attività di rete anomale.
Per le organizzazioni che hanno bisogno di assistenza nella gestione di questo tipo di esposizione tecnica, AEU-I offre servizi IT, infrastruttura e consulenza con la sicurezza come priorità. La priorità immediata resta individuare le installazioni interessate, applicare le correzioni indicate entro le relative scadenze e controllare i sistemi Plex precedentemente vulnerabili per rilevare i cryptocurrency miners o il proxy malware segnalati.