Atakujący zaczęli aktywnie wykorzystywać łańcuch czterech podatności w Plex Media Server, znany jako Plex2Shell. Luka ta pozwala na zdalne wykonanie dowolnego kodu (RCE) na serwerze bez konieczności posiadania ważnych poświadczeń, przy zachowaniu uprawnień usługi Plex.
Podatności te, oznaczone jako CVE-2026-96652, CVE-2026-96654, CVE-2026-96655 oraz CVE-2026-96656, zostały publicznie opisane wraz z kodem PoC 16 października. Już następnego dnia odnotowano realne próby eksploatacji, które wykryto dzięki systemom typu honeypot.
Z analizy wynika, że celem napastników jest instalacja koparek kryptowalut opartych na XMRig oraz oprogramowania typu proxy (myawesomeproxy). Wykorzystanie domowych adresów IP serwerów Plex jako węzłów proxy może służyć przestępcom do maskowania ruchu podczas ataków na sieci korporacyjne.
Firma Plex wydała poprawki już we wrześniu, dlatego kluczowe dla bezpieczeństwa jest niezwłoczne zaktualizowanie oprogramowania do najnowszej dostępnej wersji.
