Обычный домашний медиасервер превратился в инструмент для майнинга криптовалют и скрытой передачи чужого трафика. В Plex Media Server обнаружили цепочку из четырёх уязвимостей Plex2Shell, которая позволяет удалённо выполнять произвольный код без авторизации. Компания Plex уже подтвердила массовые атаки, а специалисты Censys обнаружили почти 100 тысяч потенциально уязвимых серверов.

Согласно опубликованному 20 октября анализу Censys, в интернете доступны 323 583 сервера Plex Media Server. Около 30% работают на уязвимых версиях. Примерно 44% обнаруженных установок находятся в США. Ещё одна неприятная деталь касается почти 8000 серверов, использующих раннюю сборку 1.43.3.10828, которую владельцы могут ошибочно считать защищённой.

Атака начинается с CVE-2026-96652 (CVSS 3.1, 4.3 балла), позволяющей заставить сервер отправлять запросы по заданному адресу. Затем злоумышленник использует CVE-2026-96654 (CVSS 3.1, 6.5 балла) для обращения к внутренним функциям Plex. Следующая ошибка, CVE-2026-96655 (CVSS 3.1, 4.3 балла), раскрывает административный токен владельца.

Полученные права открывают доступ к CVE-2026-96656 (CVSS 3.1, 7.2 балла). Через настройки перекодирования видео атакующий записывает вредоносную библиотеку в каталог Codecs. Plex загружает такой файл без проверки цифровой подписи, после чего запускает код с правами серверного процесса. Каждая ошибка по отдельности выглядит менее опасной, чем вся цепочка.

Рабочий эксплойт появился 16 октября, а уже 17 октября ловушка для злоумышленников зафиксировала первую атаку. На скомпрометированном сервере установили майнер и прокси-программу. Позднее Plex подтвердила широкомасштабную эксплуатацию. Прокси позволяет перенаправлять посторонний интернет-трафик через подключение жертвы, фактически превращая домашний сервер в чужой сетевой узел.

Исправленная версия 1.43.3.10861 вышла ещё 4 августа, а 1 сентября Plex предупредила владельцев о необходимости обновления. Однако даже после публикации эксплойта ситуация почти не изменилась. За первые три дня обновились менее 2% оставшихся уязвимых серверов. Censys также выяснила, что среди отслеживаемых по прежним IP-адресам уязвимых установок обновление получили лишь около 40%.

Разработчики предупреждают, что простое обновление уже взломанного сервера не удаляет вредоносные библиотеки и не отзывает украденные токены. Владельцам потенциально скомпрометированных установок рекомендуют переустановить Plex, очистить каталог Codecs, проверить настройки перекодирования, завершить все сеансы и сменить пароль. Под угрозой также находятся сетевые папки и учётные данные, доступные серверному процессу.