Plex2Shell exploits instalojnë miners dhe proxy malware
Dobësitë Plex2Shell në Plex Media Server po shfrytëzohen në mënyrë aktive për të instaluar cryptocurrency miners dhe proxy malware, sipas një raporti mbi shfrytëzimin të cituar pasi dobësitë u përfshinë në katalogun Known Exploited Vulnerabilities (KEV) të Agjencisë së SHBA-së për Sigurinë Kibernetike dhe Sigurinë e Infrastrukturës. Katalogu identifikon dobësitë e sigurisë për të cilat ka prova se janë shfrytëzuar në botën reale, duke i bërë këto përfshirje një shqetësim të menjëhershëm operacional dhe jo një rrezik teorik.
Katër dobësitë e Plex Media Server mund të kombinohen në një attack chain që i jep një sulmuesi në distancë remote code execution pa autentikim, sipas studiuesit të sigurisë që i zbuloi dhe i raportoi ato. Në terma praktikë, sulmuesi nuk do të kishte nevojë të identifikohej përpara se ta bënte serverin të ekzekutonte kodin e zgjedhur. Plex i korrigjoi problemet në Plex Media Server 1.43.3.10861, të publikuar më 3 gusht 2026.
Dy prej dobësive janë server-side request forgery (SSRF), të cilat mund ta bëjnë një server të dërgojë kërkesa të zgjedhura nga një sulmues. CVE-2026-96652 dhe CVE-2026-96655 kanë që të dyja rezultate prej 5.3 në Common Vulnerability Scoring System (CVSS). CVSS është një shkallë standarde për përshkrimin e rëndësisë teknike të një dobësie.
CVE-2026-96654, me rezultat CVSS prej 6.9, përfshin trajtimin e papërshtatshëm të skemave të koduara Uniform Resource Identifier (URI) në një faqe web. Një skemë URI është pjesa hapëse e një adrese që i tregon software-it se si duhet të trajtohet një burim. CVE-2026-96656 ka rezultat CVSS prej 8.6 dhe lejon kontroll të jashtëm mbi emrin ose path-in e një skedari. Megjithëse katër rezultatet individuale ndryshojnë, rreziku i raportuar vjen nga lidhja e dobësive së bashku për të arritur remote code execution.
Studiuesi i sigurisë boredhackerblog raportoi se sulmuesit po e shndërrojnë chain-in Plex2Shell në një armë për të instaluar dy lloje software-i të padëshiruar. Cryptocurrency miners konsumojnë burimet kompjuterike të një pajisjeje të komprometuar për të kryer përllogaritje që lidhen me kriptomonedhat. Proxy malware e kthen sistemin e prekur në një ndërmjetës që mund të përcjellë trafik tjetër të rrjetit. Ky shfrytëzim do të thotë se administratorët nuk duhet ta trajtojnë instalimin e versionit të korrigjuar të Plex si një detyrë rutinë mirëmbajtjeje.
CISA sinjalizoi gjithashtu CVE-2026-110936 në Siemens Software Center si një dobësi që po shfrytëzohet në mënyrë aktive. Dobësia ka rezultat CVSS prej 8.4 dhe përfshin DLL sideloading, një teknikë në të cilën software-i detyrohet të ngarkojë një Dynamic Link Library të paqëllimshme në vend të komponentit të pritur. Dobësia është keqpërdorur në sulme të identifikuara si ClickFix duke përdorur një platformë të quajtur Romulus.
Problemi tjetër që po shfrytëzohet në mënyrë aktive është CVE-2026-106931, një dobësi command injection në EG Secure Solutions SiteGuard Server Edition. Command injection lejon që udhëzimet e dhëna nga sulmuesi t'i kalohen sistemit operativ. Dobësia ka rezultat CVSS prej 8.5 dhe kompania japoneze konfirmoi se ka pasur shfrytëzim. Aktualisht nuk ka informacione të tjera për këtë aktivitet shfrytëzimi.
CISA po u kërkon agjencive të Federal Civilian Executive Branch (FCEB) të zbatojnë korrigjimet për CVE-2026-106931, CVE-2026-96656 dhe CVE-2026-96654 deri më 23 tetor 2026. Afati për CVE-2026-96652, CVE-2026-96655 dhe CVE-2026-110936 është 3 nëntor 2026. Këto afate zbatohen drejtpërdrejt për agjencitë federale të përfshira në udhëzim, por shfrytëzimi i konfirmuar është gjithashtu i rëndësishëm për organizatat e tjera që përdorin produktet e prekura.
Pronarët e faqeve web, ekipet e hosting-ut dhe administratorët e IT-së së bizneseve duhet të evidentojnë sistemet ku përdoren Plex Media Server, Siemens Software Center dhe SiteGuard Server Edition dhe më pas të konfirmojnë se janë zbatuar korrigjimet e disponueshme nga prodhuesit. Për shkak se sulmuesit tashmë po instalojnë malware përmes Plex2Shell, përditësimi i mbyll dobësitë e raportuara, por nuk përcakton në vetvete nëse një instalim ishte komprometuar përpara instalimit të patch-it. Prandaj, organizatat me sisteme të prekura ose potencialisht të ekspozuara duhet ta kombinojnë patching me një kontroll për software të papritur dhe aktivitet të pazakontë në rrjet.
Për organizatat që kanë nevojë për ndihmë në menaxhimin e këtij lloji ekspozimi teknik, AEU-I ofron shërbime IT, infrastrukture dhe konsulence me sigurinë në plan të parë. Përparësia e menjëhershme mbetet identifikimi i instalimeve të prekura, zbatimi i korrigjimeve të përcaktuara brenda afateve përkatëse dhe kontrolli i sistemeve Plex që kanë qenë më parë të cenueshme për cryptocurrency miners ose proxy malware të raportuar.