Er is een nieuwe ontwikkeling rond Plex2Shell kwetsbaarheden: aanvallers lijken ze in de praktijk te combineren om systemen met Plex Media Server over te nemen. Volgens recente meldingen gaat het niet alleen om “toegang”, maar ook om het installeren van een cryptocurrency miner en een Linux reverse proxy/backdoor.
Wat dit extra urgent maakt, is dat de exploitketen al kort na openbaarmaking in het wild werd gezien. Plex-gebruikers doen er daarom verstandig aan om hun installaties direct te controleren en te updaten.
Wat is Plex2Shell precies?
De term Plex2Shell kwetsbaarheden verwijst naar een keten van vier gekoppelde kwetsbaarheden in Plex Media Server. Aanvallers kunnen die, in een specifieke volgorde, gebruiken om uiteindelijk unauthenticated remote code execution te bereiken op getroffen Plex-instanties.
Met andere woorden: je hoeft niet per se eerst ingelogd te zijn om in theorie misbruikpogingen te zien. De keten zorgt ervoor dat een aanvaller via server-side verzoeken, parameters en bestandsverwerking het systeem kan laten uitvoeren wat uiteindelijk als payload wordt geleverd.
De kwetsbaarheden en hoe ze samen werken
De meldingen noemen de volgende CVE’s als onderdeel van de keten, met bijbehorende CVSS-scores:
- CVE-2026-96652 (CVSS 5.3): een ongeauthenticeerde SSRF via het endpoint /player/timeline. Daarbij wordt een protocol-parameter in een programmatically geconstrueerde URL geplaatst zonder voldoende validatie, waardoor een aanvaller POST-gedrag richting een door hem gekozen bestemming kan forceren.
- CVE-2026-96654 (CVSS 6.9): onjuiste neutralisatie van URL-waarden in searchOne. Dit kan aanvallers in staat stellen functies van andere plugins aan te roepen en parameters te manipuleren om uiteindelijk het admin-token van de eigenaar te verkrijgen.
- CVE-2026-96655 (CVSS 5.3): een SSRF die expliciet afhankelijk is van een geauthenticeerde context (owner token). Via het pad /video/:/transcode/universal kan de server verzoeken doen naar interne of externe adressen, bijvoorbeeld richting content die een kwaadaardige ELF-payload bevat.
- CVE-2026-96656 (CVSS 8.6): externe bestandsnaam-/padcontrole. Hierdoor kan de aanvaller een ELF shared object naar een door hem gekozen locatie in de Codecs-directory laten wegschrijven en vervolgens uitvoeren.
Volgens de beschrijving kunnen die onderdelen samen leiden tot remote code execution op kwetsbare Plex Media Server installaties, en dat zonder dat de aanvaller zich vooraf hoeft te authenticeren.
Welke versie helpt: update is de kern
De kwetsbaarheden zijn op 27 juli 2026 gemeld aan Plex door securityonderzoeker Zach Main. Plex zou vervolgens patches hebben toegevoegd in Plex Media Server 1.43.3.10861, uitgebracht op 3 augustus 2026.
Hoewel dit al enige tijd geleden gepatcht is, melden onderzoekers dat pogingen om in het wild te misbruiken pas begonnen op of rond 16 oktober 2026, nadat technische details publiek werden. Dat betekent: ook als jouw installatie “relatief nieuw” lijkt, is het cruciaal om te verifiëren dat je daadwerkelijk de patched versie draait.
Wat installeren aanvallers op besmette Plex-servers?
In de waarnemingen draait de exploitketen niet alleen om code-executie in het algemeen, maar om concrete schadelijke doelen. Zo wordt melding gemaakt van het inzetten van:
- Een miner payload die cryptomining mogelijk maakt (genaamd mylovelyminer).
- Een proxy/backdoor met de naam myawesomeproxy, beschreven als een stealthy Linux backdoor en reverse proxy.
De minerconfiguratie wordt gekoppeld aan een mining server die in de meldingen wordt aangeduid als ota.proxystream[.]st. Daarnaast is er sprake van een domeinvariant global.relay.proxystream[.]st die door Bitsight eerder (augustus 2026) in verband is gebracht met een proxyware botnet en een AISURU DDoS-context.
Op communityplatforms zoals Reddit melden meerdere Plex-gebruikers dat hun Plex-instanties eenzelfde mylovelyminer-payload zouden hebben ontvangen. Of dat 1-op-1 volgt uit de Plex2Shell keten, is op dit moment niet met zekerheid vastgesteld.
Observaties uit het netwerk en mogelijke herleidingspunten
Onderzoekers koppelen de activiteit aan verschillende IP-adressen. In de meldingen komen onder meer deze adressen terug:
- 91.92.40[.]202
- 176.65.139[.]228
- 45.194.92[.]222
Het is belangrijk om te benadrukken dat IP’s alleen beperkte context geven: je zoekt vooral naar tekenen van exploitgedrag in jouw eigen logs, processen en bestandssystemen.
Praktische aanpak: zo verklein je het risico
Als je Plex gebruikt, is dit de logische volgorde van handelen.
1) Check direct je Plex-versie
Vergelijk je huidige Plex Media Server-versie met de gepatchte release 1.43.3.10861. Is je installatie ouder? Update dan nu.
2) Controleer op verdachte processen
Let vooral op executables die passen bij cryptomining of proxyware-activiteiten. In de meldingen worden bijvoorbeeld “mylovelyminer” en een stealthy proxy/backdoor (“myawesomeproxy”) genoemd. Zoek in je proceslijst, scheduler/cron-achtige taken en services naar afwijkingen.
3) Review logs rond misbruikmomenten
Omdat de keten onder andere SSRF-achtige stappen bevat via specifieke endpoints, kan het helpen om requestpatronen te bekijken in je webserver/logbestanden. Richt je op perioden waarin je onverklaarbare uitgaande netwerkverbindingen of foutmeldingen ziet.
4) Werk incidentgericht: ga na of er al code uitgevoerd is
Zelfs als je daarna updatet, moet je ervan uitgaan dat er mogelijk al payloads zijn gedraaid. Evalueer daarom of er bestanden zijn weggehaald, aangemaakt of aangepast in Plex-gerelateerde mappen (zoals de context rond Codecs waar de keten op focust).
Vergelijkbare risico’s: updates en monitoring blijven cruciaal
Deze casus past in een breder patroon: aanvallers combineren vaak meerdere kwetsbaarheden tot één exploitketen. Eerder zagen we bijvoorbeeld dat kwetsbaarheden in Siemens Software Center werden misbruikt, waarbij ook gold dat tijdige patching het verschil maakt. Lees eventueel verder: Siemens Software Center kwetsbaarheid misbruikt.
Ook bij andere platformen zien we dat gedetailleerde technische informatie openbaar kan worden en dat misbruikgedrag vervolgens toeneemt. Daarom is het niet genoeg om alleen “geregeld updates te doen”; je wilt ook weten welke versie je draait en of er signalen van compromis zijn.
Conclusie
Plex2Shell kwetsbaarheden worden actiever misbruikt dan je zou hopen op basis van alleen de patchdatum. De keten kan leiden tot unauthenticated remote code execution en resulteert in de inzet van een cryptominer en een Linux reverse proxy/backdoor.
De belangrijkste stap voor Plex-gebruikers: update naar Plex Media Server 1.43.3.10861 of nieuwer en controleer daarna of er tekenen van mining/proxyware aanwezig zijn. Daarmee beperk je de kans dat een kwetsbare server doorgaat met aanvallers “binnenlaten”.
Bron: https://thehackernews.com/2026/10/hackers-exploit-plex2shell-flaws-to.html
1 reactie