Kaj se je zgodilo
Raziskovalec, ki uporablja vzdevek boredhackerblog, je objavil javni dokaz koncepta za verigo štirih ranljivosti v Plex Media Server, poimenovano Plex2Shell. Po navedbah The Hacker News in SecurityWeek so neznani akterji grožnje že v nekaj urah po objavi začeli izkoriščati verigo za nameščanje kriptorudarske programske opreme in programske opreme za obratni proxy na strežnikih Linux. Cyber Security News navaja, da je raziskovalec zabeležil uspešne napade na honeypot strežnik 17. oktobra 2026, kasneje pa je bila ob kriptorudarju opažena tudi proxy programska oprema. Vir poudarja, da dokazi kažejo na aktivno izkoriščanje izpostavljenega testnega strežnika, ne zgolj na skeniranje, hkrati pa razpoložljivi podatki ne razkrivajo, koliko dejanskih strežnikov je bilo ogroženih, niti identitete napadalcev.
Plex je varnostne posodobitve objavil 1. septembra in uporabnike pozval k namestitvi Plex Media Server 1.43.3 ter Plex Desktop 1.115.0. Uradno varnostno obvestilo opozarja, da bodo morali uporabniki naprav NAS posodobitev morda namestiti ročno.
Veriga Plex2Shell združuje štiri ranljivosti. CVE-2026-96656 omogoča administratorskemu uporabniku zapis poljubnih datotek, ki se lahko izvedejo ob nalaganju, saj Plex ob zagonu izvede vse datoteke .so brez preverjanja podpisa, izvedljivega bita ali simbolov; po oceni NVD ima CVSS 4.0 8,6 (visoka stopnja), EPSS pa znaša 0,4 % (18. 10. 2026). CVE-2026-96654 izhaja iz nepravilnega preverjanja URL vrednosti v parametru searchOne, kar napadalcu omogoča klicanje funkcij drugih vtičnikov z lastnimi parametri; CVSS 4.0 znaša 6,9 (srednja stopnja), EPSS pa 0,2 %. CVE-2026-96652 omogoča SSRF prek poti /player/timeline, kjer lahko napadalec s poljubnim žetonom X-Plex-Token prisili strežnik, da pošlje POST zahtevo na izbrani cilj; CVSS 4.0 je 5,3 (srednja stopnja), EPSS 0,2 %. CVE-2026-96655 omogoča avtenticiranemu uporabniku zahtevati poljubne notranje ali zunanje naslove prek parametra poti /video/:/transcode/universal; CVSS 4.0 je prav tako 5,3 (srednja stopnja), EPSS 0,2 %. Nobena od štirih ranljivosti trenutno ni uvrščena v katalog CISA KEV.
Kaj to pomeni za slovenska in evropska podjetja
Plex Media Server se pogosto uporablja tudi v manjših podjetjih in domačih okoljih za strežnike NAS, ki so pogosto izpostavljeni internetu zaradi oddaljenega dostopa do medijske vsebine. Glede na to, da je bila veriga izkoriščena že v nekaj urah po objavi javnega dokaza koncepta, predstavlja tveganje predvsem za neposodobljene, javno dosegljive strežnike. Čeprav trenutno razpoložljivi podatki ne potrjujejo obsežnega kompromitiranja v Evropi, izpostavljenost takih strežnikov internetu brez posodobitev pomeni neposredno tveganje za vdor in zlorabo virov za rudarjenje kriptovalut ali vzpostavitev proxy infrastrukture.
Priporočeni ukrepi
- Posodobite Plex Media Server na različico 1.43.3.10861 ali novejšo ter Plex Desktop na 1.115.0.
- Uporabniki naprav NAS naj preverijo, ali je potrebna ročna namestitev posodobitve, kot opozarja uradno varnostno obvestilo Plex.
- Omejite javno izpostavljenost administrativnih vmesnikov Plex Media Server in preverite nenavaden odhodni promet, ki bi lahko kazal na proxy ali rudarsko dejavnost.
- Spremljajte dnevnike strežnika za nenavadne zahteve na poteh /player/timeline, /video/:/transcode/universal in povezane s parametrom searchOne.
Vprašanja in odgovori
Ali je katera od ranljivosti Plex2Shell uvrščena v katalog CISA KEV? Ne, glede na razpoložljive podatke nobena od štirih ranljivosti (CVE-2026-96652, CVE-2026-96654, CVE-2026-96655, CVE-2026-96656) trenutno ni v katalogu CISA KEV.
Katera ranljivost v verigi velja za najresnejšo? CVE-2026-96656 ima najvišjo oceno CVSS 4.0, in sicer 8,6 (visoka stopnja), saj omogoča zapis in izvedbo poljubnih datotek.
Kako se zaščitim pred izkoriščanjem verige Plex2Shell? Posodobite na Plex Media Server 1.43.3.10861 ali novejšo različico in omejite javno dostopnost administrativnega vmesnika.
Pogosta vprašanja
Ali je katera od ranljivosti Plex2Shell uvrščena v katalog CISA KEV?
Ne, glede na razpoložljive podatke nobena od štirih ranljivosti trenutno ni v katalogu CISA KEV.
Katera ranljivost v verigi velja za najresnejšo?
CVE-2026-96656 ima najvišjo oceno CVSS 4.0, in sicer 8,6 (visoka stopnja), saj omogoča zapis in izvedbo poljubnih datotek brez preverjanja podpisa.
Kako se zaščitim pred izkoriščanjem verige Plex2Shell?
Posodobite Plex Media Server na različico 1.43.3.10861 ali novejšo in omejite javno dostopnost administrativnega vmesnika strežnika.
Sorodne objave
- Zlonamerna programska oprema PEERSTITCH izkorišča ranljivost v FortiOS za zaobidenje preverjanja VPN-sej
- Hekerji napadli francoske hladilnike v trgovinah E. Leclerc, Intermarche in Cooperative U
- Napadalci z ukradeno poverilnico ConnectWise vdrli v 173 najemnikov Microsoft 365