Хакерите вметнуваат ранливости во Plex2Shell за да инсталираат крипто-рудари и Linux прокси задна врата (backdoor)

Актерите зад заканите започнаа да вметнат синџир на ранливости во Plex Media Server за да распоредат рудари за криптовалути и софтвер за реверзен прокси, еден ден откако јавно беа објавени докази за концепт (PoC).

Според истражувач кој користи интернет псевдоним boredhackerblog, активноста за вметнување вклучува поврзување на четири различни ранливости, колективно наречени Plex2Shell.

Ранливостите се следните:

• CVE-2026-96652 (CVSS скор: 5.3) – Ранливост од тип лажно барање на серверска страна (SSRF) без автентикација, која произлегува преку крајната точка „/player/timeline“ со искористување на фактот дека параметарот „protocol“ се вметнува во програмски конструкран URL за плеер без валидација, овозможувајќи му на напаѓачот да го принуди Plex серверот да изврши POST барање до дестинација по нивни избор.
• CVE-2026-96654 (CVSS скор: 6.9) – Неправилна неутрализација на URL вредности вклучени во крајната точка „searchOne“, што би могло да му овозможи на напаѓачот да повикува функции на други приклучоци (plugins) и да обезбеди сопствени параметри за да го добие администраторскиот токен на сопственикот.
• CVE-2026-96655 (CVSS скор: 5.3) – SSRF ранливост што му овозможува на автентикуван корисник (т.е. со токенот на сопственикот) да бара произволни внатрешни или надворешни адреси (на пр., видео од превозник хостирано од напаѓач кое го носи злонамерниот ELF товар) преку параметарот за патека „/video/:/transcode/universal“.
• CVE-2026-96656 (CVSS скор: 8.6) – Ранливост од надворешна контрола на името на датотеката или патеката, која го запишува споделениот објект ELF на патека избрана од напаѓачот во директориумот за кодеци (Codecs) и го извршува.

Кажано поинаку, овие ранливости може да се комбинираат заедно во овој редослед за да се постигне далечинско извршување код (RCE) без автентикација на подложни инстанци на Plex Media Server.

Ранливостите, заедно со CVE-2026-96651 (CVSS скор: 7.1), му беа откриени на Plex на 27 јули 2026 година од страна на безбедносниот истражувач Зак Мејн (Zach Main), а беа сокриени со закрпа (patch) во Plex Media Server 1.43.3.10861 издаден на 3 август 2026 година.

Обидите за експлоатација во реални услови (in-the-wild) насочени кон овие пропусти се забележани еден ден откако техничките детали за синџирот Plex2Shell станаа јавни на 16 октомври 2026 година. Нападите користат скрпт за обвивка (shell script) за преземање и распоредување на товар со рудар („x12345“) хостиран на оддалечен сервер („217.60.194[.]116“) со користење на wget или curl.

Активностите на нападите се забележани од следните IP адреси:

• 91.92.40[.]202
• 176.65.139[.]228
• 45.194.92[.]222
• 176.65.139[.]228

Покрај тоа, ранливостите беа искористени за испорака на артефакт наречен „myawesomeproxy“, кој според VirusTotal претставува скриена Linux задна врата (backdoor) и реверзен прокси. Според boredhackerblog, при извршувањето на програмата се прикажува следнава порака:

Со извршувањето на овој софтвер на кој било од вашите уреди, се согласувате со потенцијалното надворешно користење на вашиот интернет сообраќај.

Исто така, истовремено е распореден и процес за рударење XMRig идентификуван како „mylovelyminer“, чиј сервер за рударење покажува кон „ota.proxystream[.]st“. Именувано, друг поддомен поврзан со истиот домен, „global.relay.proxystream[.]st“, беше означен од Bitsight во август 2026 година во врска со AISURU DDoS и проксивер ботнетот.

Објавите на Reddit покажуваат дека повеќе корисници на Plex имаат компромитирани инстанци со истиот товар „mylovelyminer“. Сепак, во оваа фаза не е познато дали тоа произлегува од експлоатацијата на пропустите во Plex2Shell.

Овој развој на настаните доаѓа повеќе од еден месец откако Plex ги повика корисниците да ги ажурираат своите инстанци на најновата верзија по објавувањето на ажурирање кое адресираше повеќе необјавени безбедносни пропусти.

Нејасно е дали гореспоменатите ранливости биле дел од ова предупредување. The Hacker News го контактираше Plex за коментар и ќе ја ажурираме приказната доколку добиеме одговор. Со оглед на активната експлоатација, корисниците се советуваат да ги одржуваат своите инсталации на Plex ажурирани за оптимална заштита.

Извори:

• The Hacker News – Hackers Exploit Plex2Shell Flaws to Install Crypto Miners and Linux Proxy Backdoor The Hacker News