Hackers Exploit Plex2Shell Flaws to Install Crypto Miners and Linux Proxy Backdoor
The Hacker News · 19 oct, 19:32
Qué hacer: Actualiza Plex Media Server a la versión 1.43.3.10861 o posterior inmediatamente.
Actores de amenaza están explotando activamente una cadena de cinco vulnerabilidades en Plex Media Server (Plex2Shell) para instalar minadores de criptomonedas y un backdoor de proxy inverso en Linux. La explotación comenzó un día después de que los detalles técnicos se hicieran públicos el 16 de octubre de 2026, permitiendo ejecución remota de código no autenticada mediante la combinación de cuatro CVE.
Las vulnerabilidades fueron divulgadas responsablemente a Plex el 27 de julio de 2026 por el investigador Zach Main y parcheadas en la versión 1.43.3.10861 lanzada el 3 de agosto. La cadena Plex2Shell encadena CVE-2026-96652 (SSRF en /player/timeline), CVE-2026-96654 (neutralización impropia de URL en searchOne), CVE-2026-96655 (SSRF en /video/:/transcode/universal) y CVE-2026-96656 (control externo de rutas de archivo con CVSS 8.6), logrando RCE sin autenticación.
Los ataques observados despliegan dos payloads: "myawesomeproxy" (backdoor y proxy inverso Linux) y "mylovelyminer" (minador XMRig). Los servidores de comando se asocian con infraestructura de botnet proxyware previamente identificada (AISURU). Los ataques provienen de múltiples direcciones IP (91.92.40[.]202, 176.65.139[.]228, 45.194.92[.]222) y se reportan compromisos en múltiples instancias de Plex en Reddit.
Puntos clave
- Cadena de 4 CVE (CVE-2026-96652, 96654, 96655, 96656) permite RCE no autenticado en Plex Media Server
- Parcheado en versión 1.43.3.10861 del 3 de agosto de 2026; actualizar inmediatamente
- Payloads activos: minador XMRig (mylovelyminer) en ota.proxystream[.]st y backdoor proxy (myawesomeproxy)
- Explotación confirmada en la naturaleza desde 16 de octubre de 2026 desde múltiples direcciones IP