Через день после публикации proof-of-concept в открытом доступе злоумышленники начали эксплуатировать цепочку из четырёх уязвимостей в Plex Media Server. Цепочка получила название Plex2Shell: она позволяет выполнить код на уязвимом сервере без аутентификации. В ходе атак на хосты ставят майнер XMRig и программу обратного прокси, которую исследователи описывают как скрытый Linux-бэкдор.
Из чего состоит цепочка Plex2Shell
Эксплуатацию зафиксировал исследователь под ником boredhackerblog. В цепочку входят четыре уязвимости:
- CVE-2026-96652 (CVSS 5.3) — SSRF без аутентификации через эндпоинт
/player/timeline. Параметрprotocolподставляется в программно собранный URL плеера без проверки, поэтому атакующий может заставить сервер Plex отправить POST-запрос на выбранный им адрес. - CVE-2026-96654 (CVSS 6.9) — некорректная нейтрализация значений URL в эндпоинте
searchOne. Через неё можно вызывать функции других плагинов и передавать им свои параметры, чтобы получить административный токен владельца. - CVE-2026-96655 (CVSS 5.3) — SSRF, позволяющая аутентифицированному пользователю (то есть обладателю токена владельца) запрашивать произвольные внутренние или внешние адреса через параметр пути
/video/:/transcode/universal. Например, подсунуть видео с хостинга атакующего, несущее вредоносный ELF-пейлоад. - CVE-2026-96656 (CVSS 8.6) — внешнее управление именем файла или путём: позволяет записать ELF-объект в выбранный атакующим путь в каталоге Codecs и выполнить его.
Сложенные в этом порядке, уязвимости дают неаутентифицированное удалённое выполнение кода на уязвимых экземплярах Plex Media Server. Вместе с ними раскрыта ещё одна, CVE-2026-96651 (CVSS 7.1).
Патч вышел в августе, PoC — в октябре
Все уязвимости исследователь Zach Main передал Plex 27 июля 2026 года, а исправлены они были в Plex Media Server 1.43.3.10861, вышедшем 3 августа 2026 года. Технические детали цепочки Plex2Shell стали публичными 16 октября 2026 года, а уже на следующий день зафиксировали первые попытки эксплуатации в реальных условиях.
Атаки приводили к загрузке майнера с удалённого сервера 217.60.194[.]116. Попытки эксплуатации наблюдались с адресов:
91.92.40[.]202176.65.139[.]22845.194.92[.]222176.65.139[.]228
Кроме майнера, на хосты доставляли артефакт под именем myawesomeproxy. По данным VirusTotal, это скрытый Linux-бэкдор и обратный прокси. При запуске программа выводит сообщение: «Running this software on any of your devices makes you agree to the potential external use of your internet traffic». Одновременно запускался процесс майнера XMRig с именем mylovelyminer, а его майнинг-сервер указывал на ota.proxystream[.]st.
Отдельно стоит отметить: другой поддомен того же домена, global.relay.proxystream[.]st, в августе 2026 года отметила Bitsight — в связи с ботнетом AISURU, который занимается DDoS-атаками и прокси-трафиком.
Что видят пользователи и чего пока не ясно
На Reddit появились сообщения от нескольких владельцев Plex, чьи экземпляры были скомпрометированы тем же пейлоадом mylovelyminer. Пока неизвестно, связаны ли эти взломы с эксплуатацией Plex2Shell. Редакция The Hacker News запросила комментарий у Plex и обещала обновить материал, когда получит ответ.
Ещё один контекст: более чем за месяц до этого Plex призывал пользователей обновить экземпляры после выпуска патча, закрывавшего несколько неуказанных уязвимостей. Были ли среди них перечисленные выше — не уточняется.
Что делать администратору
Главное действие одно: проверить версию Plex Media Server и обновить её как минимум до 1.43.3.10861. Учитывая активную эксплуатацию, откладывать обновление не стоит.
Если сервер доступен из интернета, стоит проверить его на признаки компрометации: процесс mylovelyminer, файл myawesomeproxy, обращения к ota.proxystream[.]st и global.relay.proxystream[.]st, а также исходящие соединения на 217.60.194[.]116 и с перечисленных выше IP. Наличие любого из этих признаков означает, что машину нужно считать скомпрометированной.
Похожая картина была у администраторов Nextcloud: тогда через критическую уязвимость в Collabora Online на серверах тоже оставляли веб-шеллы — разбор инцидента есть на spbcomputers.ru. А история с рабочим эксплойтом AnyPwn для AnyDesk Linux напоминает, что публикация PoC резко сокращает время до начала атак.
Частые вопросы
Какие версии Plex Media Server уязвимы?
Уязвимости закрыты в Plex Media Server 1.43.3.10861, вышедшем 3 августа 2026 года. Всё, что старше этой сборки, следует считать потенциально уязвимым.
Можно ли эксплуатировать цепочку без учётной записи?
Да. Цепочка собрана так, чтобы в итоге получить неаутентифицированное удалённое выполнение кода: первые шаги не требуют входа, а токен владельца добывается по ходу эксплуатации.
Как быстро начались атаки?
Технические детали Plex2Shell опубликовали 16 октября 2026 года, а попытки эксплуатации зафиксировали уже на следующий день.
Что именно устанавливают на взломанный сервер?
Майнер XMRig под именем mylovelyminer с сервером ota.proxystream[.]st и артефакт myawesomeproxy — по данным VirusTotal, скрытый Linux-бэкдор и обратный прокси.
Зачем атакующим обратный прокси на медиасервере?
Программа прямо предупреждает о возможном внешнем использовании интернет-трафика устройства. По сути, машина превращается в узел для проведения трафика через себя.
Связаны ли взломы на Reddit с Plex2Shell?
Пользователи сообщают о том же пейлоаде mylovelyminer, но на текущий момент неизвестно, получены ли эти компрометации через Plex2Shell.
Достаточно ли обновления, если сервер уже заражён?
Обновление закрывает вектор проникновения, но не удаляет уже установленные программы. При обнаружении mylovelyminer или myawesomeproxy нужно проводить полноценную очистку хоста.
Касается ли это только серверов с доступом из интернета?
В описании уязвимостей речь идёт об удалённой эксплуатации через эндпоинты Plex. Если сервер доступен извне, риск максимальный; но и во внутренней сети обновление остаётся обязательным.
Источник: thehackernews.com