Una catena di vulnerabilità denominata Plex2Shell viene già sfruttata contro Plex Media Server per installare miner di criptovalute e software proxy su sistemi Linux. Gli attacchi possono arrivare fino all’esecuzione remota di codice senza autenticazione sulle installazioni vulnerabili.
Le falle erano state corrette da Plex con Plex Media Server 1.43.3.10861, rilasciato il 3 agosto 2026. I tentativi di sfruttamento sono stati rilevati dal 17 ottobre, il giorno successivo alla pubblicazione dei dettagli tecnici della catena di exploit.
Come funziona la catena Plex2Shell
Plex2Shell non indica una singola vulnerabilità, ma la combinazione di quattro falle. In sequenza, consentono a un aggressore esterno di indirizzare il server verso risorse controllate dall’attaccante, ottenere il token amministrativo del proprietario e infine scrivere ed eseguire un componente ELF sul sistema.
Il primo elemento è CVE-2026-96652, una vulnerabilità SSRF nell’endpoint /player/timeline. Il parametro protocol viene inserito nella creazione dell’URL del player senza una convalida adeguata: il server può quindi essere indotto a inviare una richiesta POST verso una destinazione scelta dall’aggressore.
La seconda falla, CVE-2026-96654, riguarda l’endpoint searchOne. Un’attaccante può richiamare funzioni di altri plugin con parametri propri e ricavare il token amministrativo del proprietario. Quel token serve poi a sfruttare CVE-2026-96655, un’altra SSRF che permette richieste verso indirizzi interni o esterni attraverso il percorso /video/:/transcode/universal.
L’ultimo passaggio è CVE-2026-96656, valutata 8,6 su 10: consente di salvare una libreria condivisa ELF in un percorso scelto dall’aggressore nella directory Codecs e di eseguirla. È questa concatenazione a trasformare falle diverse in un attacco remoto non autenticato contro le istanze esposte.
I payload osservati negli attacchi
Le attività rilevate usano uno script shell per scaricare e installare un miner chiamato x12345, recuperato con wget o curl da un server remoto. Sono stati osservati tentativi provenienti da più indirizzi IP, tra cui 91.92.40[.]202, 176.65.139[.]228 e 45.194.92[.]222.
In parallelo è stato distribuito anche myawesomeproxy, un artefatto indicato come backdoor Linux e reverse proxy. Il programma dichiara che la sua esecuzione può consentire l’uso esterno del traffico Internet del dispositivo: un comportamento coerente con software che trasforma una macchina compromessa in un nodo di inoltro.
Un processo XMRig denominato mylovelyminer completa il quadro, con server di mining impostato sul dominio ota.proxystream[.]st. Un altro sottodominio della stessa infrastruttura era stato in precedenza segnalato da Bitsight in relazione alla botnet AISURU, usata per DDoS e proxyware. Questo collegamento non prova però da solo l’attribuzione degli attacchi Plex a quella botnet.
La patch disponibile e il perimetro noto
Le vulnerabilità, insieme a CVE-2026-96651, erano state segnalate a Plex il 27 luglio 2026 dal ricercatore Zach Main. Plex le ha corrette nella versione 1.43.3.10861 del proprio Media Server, pubblicata il 3 agosto.
Secondo il resoconto, lo sfruttamento in natura è iniziato dopo la diffusione pubblica dei dettagli della catena Plex2Shell. Alcuni utenti Plex hanno inoltre riferito su Reddit compromissioni con il payload mylovelyminer, ma non è stato possibile stabilire se tutti questi casi derivino dallo sfruttamento delle vulnerabilità Plex2Shell.
FAQ
Quale versione di Plex Media Server corregge Plex2Shell?
Le falle descritte sono state corrette in Plex Media Server 1.43.3.10861, rilasciato il 3 agosto 2026.
L’attacco richiede un account Plex?
La catena descritta può portare a esecuzione remota di codice senza autenticazione sulle installazioni vulnerabili: l’aggressore usa le falle per arrivare anche al token amministrativo del proprietario.
Che cosa installano gli attaccanti?
Le campagne osservate distribuiscono un miner di criptovalute basato su XMRig e myawesomeproxy, descritto come backdoor Linux e reverse proxy.
Considerazioni finali
La gravità di Plex2Shell sta nella catena, non in una singola funzione difettosa: SSRF, accesso al token amministrativo e scrittura di un componente eseguibile si sommano fino a offrire il controllo remoto di un server vulnerabile. La presenza di miner e proxy mostra inoltre un impiego immediatamente monetizzabile delle compromissioni.
La disponibilità della correzione in Plex Media Server 1.43.3.10861 è il dato decisivo, soprattutto perché gli attacchi sono comparsi subito dopo la divulgazione tecnica. In questo caso la distanza tra una falla pubblica e un abuso concreto è stata minima.