CISA: Hackers chain Plex flaws in Plex2Shell attacks to breach servers
BleepingComputer · 21 oct, 20:34
Qué hacer: Actualiza Plex Media Server a versión 1.43.3.10861 o posterior.
CISA advierte sobre la explotación activa de cuatro vulnerabilidades en Plex Media Server, encadenadas en ataques Plex2Shell para obtener tokens de administrador y ejecutar código con privilegios elevados. El investigador Zach Main publicó detalles técnicos completos el 16 de octubre y un exploit funcional el 19, tras lo cual comenzaron a reportarse ataques en la naturaleza dirigidos a honeypots para desplegar minadores de criptografía. Plex Media Server versiones anteriores a 1.43.3.10861 están afectadas; CISA ha ordenado a agencias federales aplicar parches o mitigaciones antes del 23 de octubre.
Las cuatro vulnerabilidades Plex2Shell forman una cadena de explotación crítica (puntuación 9.8). CVE-2026-96652 es una falla SSRF en /player/timeline que permite a atacantes no autenticados hacer que Plex envíe solicitudes POST a destinos arbitrarios, incluidas sus propias APIs internas. CVE-2026-96654 es una inyección de URL en searchOne que permite invocar funciones de otros plugins con parámetros controlados por el atacante. CVE-2026-96655 es una falla SSRF autenticada en el endpoint del transcodificador. CVE-2026-96656 es una falla de escritura arbitraria de archivos en la configuración del transcodificador que permite a administradores instalar librerías compartidas maliciosas que Plex carga posteriormente, llevando a ejecución de código.
El parche se lanzó el 4 de agosto (versión 1.43.3.10861), pero el investigador Zach Main publicó los detalles técnicos completos el 16 de octubre y un PoC funcional el 19. Los reportes de explotación en la naturaleza comenzaron el 17 de octubre, inicialmente dirigidos a honeypots para desplegar minadores. CISA ha añadido Plex2Shell a su catálogo de vulnerabilidades conocidas y explotadas (KEV).
Puntos clave
- Plex Media Server versiones anteriores a 1.43.3.10861 están afectadas
- CVE-2026-96652, CVE-2026-96654, CVE-2026-96655, CVE-2026-96656 se explotan encadenadas
- PoC público disponible desde el 19 de octubre; explotación activa en honeypots desde el 17 de octubre
- Atacantes obtienen token de administrador y ejecutan código con privilegios elevados
Figuras de la fuente
