Atores de ameaça começaram a explorar uma cadeia de vulnerabilidades no Plex Media Server para instalar mineradores de criptomoedas e ferramentas de proxy reverso. A atividade foi registrada um dia após a divulgação pública de uma prova de conceito.
Segundo o pesquisador conhecido pelo pseudônimo boredhackerblog, os ataques combinam quatro vulnerabilidades, reunidas sob o nome Plex2Shell.
As falhas são:
- **
CVE-2026-96652
(CVSS: 5,3):** falsificação de solicitação do lado do servidor (SSRF) sem necessidade de autenticação, relacionada ao caminho `/player/timeline`. A falha permite inserir o parâmetro `protocol` em um endereço de reprodutor criado automaticamente, sem validação. Com isso, um invasor pode fazer o servidor Plex enviar uma solicitação POST para um destino escolhido por ele.
- **
CVE-2026-96654
(CVSS: 6,9):** neutralização inadequada de valores de endereço no caminho `searchOne`. A falha pode permitir que um invasor acione funções de outros plugins e forneça parâmetros próprios para obter o token administrativo do proprietário.
- **
CVE-2026-96655
(CVSS: 5,3):** falha SSRF que permite a um usuário autenticado, ou seja, alguém com o token do proprietário, solicitar endereços internos ou externos arbitrários por meio do parâmetro de caminho `/video/:/transcode/universal`. Entre eles pode estar um vídeo hospedado pelo invasor e usado para transportar um payload ELF malicioso.
- **
CVE-2026-96656
(CVSS: 8,6):** falha que permite controlar externamente o nome ou o caminho de um arquivo. Isso possibilita gravar uma biblioteca compartilhada ELF em um local escolhido pelo invasor, dentro do diretório Codecs, e executá-la.
Em conjunto, as vulnerabilidades podem ser exploradas nessa ordem para obter execução remota de código sem autenticação em instâncias vulneráveis do Plex Media Server.
As falhas, junto com a **
CVE-2026-96651
(CVSS: 7,1)**, foram comunicadas ao Plex em 27 de julho de 2026 pelo pesquisador de segurança Zach Main. A empresa corrigiu os problemas no Plex Media Server 1.43.3.10861, lançado em 3 de agosto de 2026.
Tentativas de exploração em sistemas reais foram registradas um dia depois que os detalhes técnicos da cadeia Plex2Shell se tornaram públicos, em 16 de outubro de 2026. Os ataques instalaram um payload de mineração obtido de um servidor remoto no endereço `217.60.194[.]116`.
As tentativas partiram dos seguintes endereços IP:
- `91.92.40[.]202`
- `176.65.139[.]228`
- `45.194.92[.]222`
As vulnerabilidades também foram usadas para distribuir um arquivo chamado `myawesomeproxy`. Segundo o VirusTotal, trata-se de um backdoor furtivo para Linux que funciona como proxy reverso. Ao ser executado, o programa exibe a seguinte mensagem, de acordo com boredhackerblog:
“Executar este programa em qualquer um dos seus dispositivos significa aceitar que seu tráfego de internet possa ser usado externamente.”
Os ataques também instalaram um processo de mineração XMRig chamado `mylovelyminer`. O servidor de mineração estava configurado para `ota.proxystream[.]st`. Outro subdomínio do mesmo domínio, `global.relay.proxystream[.]st`, foi associado pela Bitsight, em agosto de 2026, à botnet AISURU, usada para ataques DDoS e como rede de proxy.
Publicações no Reddit indicam que vários usuários do Plex tiveram suas instâncias comprometidas pelo mesmo payload `mylovelyminer`. Ainda não se sabe, porém, se os casos estão relacionados à exploração das falhas do Plex2Shell.
O caso ocorre pouco mais de um mês depois de o Plex recomendar que os usuários atualizassem suas instalações para a versão mais recente, após lançar uma atualização que corrigia várias falhas de segurança não especificadas.
Não está claro se as vulnerabilidades citadas faziam parte daquele alerta. Segundo o The Hacker News, a publicação entrou em contato com o Plex para solicitar um comentário e atualizará a reportagem caso receba uma resposta. Diante da exploração ativa, a recomendação é manter o Plex atualizado para reduzir os riscos.
Publicidade
Vibecoding cria 10x mais sistemas, 20x mais vulneráveis. E quem ganha com isso é a galera do hacking ético e pentest. Quer ser pago para invadir sistemas? Então você tem que aprender com a Solyd que são os melhores do Brasil. Saiba mais...