🛡 VULNERABILIDADES 🛡

Explotación Plex2Shell convierte servidores Plex vulnerables en mineros de criptomonedas.

⏰20 de octubre de 2026🛡CyberObservatorio

Idioma

◢ VULNERABILIDADES ◣

Explotación Plex2Shell convierte servidores Plex vulnerables en mineros de criptomonedas.

⟫ 19/10/2026 ⟫ Pierluigi Paganini

Fuente: Security Affairs

**Vulnerabilidades en Plex Media Server: Un Llamado a la Acción para Administradores de Sistemas**

Plex Media Server se ha convertido en una herramienta esencial para los entusiastas de los medios digitales, permitiendo la distribución de películas, música y otros contenidos multimedia a través de múltiples dispositivos. Sin embargo, la exposición de un servidor a Internet y la ejecución de software vulnerable pueden transformarlo en un punto de entrada para atacantes que, lejos de interesarse por la colección de películas de un usuario, buscan aprovechar las debilidades del sistema para fines maliciosos. Este riesgo se hace particularmente evidente tras la divulgación de una cadena de vulnerabilidades recientemente descubiertas que afecta a Plex.

El 16 de octubre de 2026, el investigador de seguridad Zach Main publicó detalles técnicos y un código de prueba de concepto (PoC) para una cadena de vulnerabilidades conocida como Plex2Shell. En menos de 24 horas, se documentó que atacantes estaban utilizando esa explotación contra un honeypot expuesto a Internet, desplegando malware destinado a la minería de criptomonedas y software de proxy. Este incidente subraya la rapidez con la que una vulnerabilidad pública puede ser convertida en un arma por actores maliciosos.

La cadena de vulnerabilidades se compone de cuatro CVEs: CVE-2026-96652, CVE-2026-96654, CVE-2026-96655 y CVE-2026-96656. En conjunto, permiten a los atacantes ejecutar código arbitrario en servidores vulnerables sin necesidad de credenciales válidas, siempre que se cumplan ciertas condiciones. El código se ejecuta con los privilegios del servicio Plex, lo que brinda a los atacantes la oportunidad de instalar software adicional y abusar del sistema anfitrión.

Los detalles técnicos de estas vulnerabilidades están disponibles en el análisis original de Main, titulado Plex2Shell. Plex fue notificado sobre estas vulnerabilidades el 27 de julio y reconoció el informe el 4 de agosto, otorgando una recompensa por el descubrimiento. La compañía lanzó parches en septiembre, antes de que el código de explotación se hiciera público.

Una de las características más críticas de esta vulnerabilidad es que el cargador no verifica el nombre de la biblioteca, los permisos de ejecución, la firma digital ni los símbolos. Como resultado, el constructor ELF de la biblioteca puede ejecutarse con los mismos privilegios que el servicio Plex. Según el informe publicado por zmain.com, “no verifica alibprefix, no requiere el bit de ejecución, no valida ninguna firma y no busca ningún símbolo específico”. Esto significa que, al cargar un objeto compartido, se ejecutan las funciones constructoras del ELF antes de realizar cualquier resolución de símbolos. Así, un archivo que solo tenga un constructor y no símbolos exportados aún podrá ejecutar su código al cargarse.

Este detalle es relevante porque la fase final de la cadena puede aprovechar la forma en que Plex carga bibliotecas compartidas. La cadena utiliza una configuración relacionada con la transcodificación para influir en la ejecución, permitiendo que una biblioteca especialmente diseñada se ejecute cuando Plex la carga. Como resultado, se puede lograr la ejecución de código bajo la cuenta del servicio, sin que el atacante necesite obtener primero un inicio de sesión interactivo.

La primera actividad confirmada se observó el 17 de octubre, cuando un investigador que monitorizaba un honeypot vulnerable reportó la explotación en el mundo real. "Mi honeypot principalmente vio intentos de escaneo y explotación genérica. A partir de esta mañana (17 de octubre), finalmente vi explotación en la naturaleza", reportó el investigador en BoredHackerBlog. Este investigador también mencionó que, debido a cómo funciona esta vulnerabilidad, tuvo que modificar sus configuraciones para permitir el tráfico saliente, lo que limitó su capacidad para capturar todos los ataques.

Los atacantes utilizaron la explotación disponible públicamente para desplegar un minero de criptomonedas basado en XMRig. Más tarde ese mismo día, el investigador encontró una segunda carga útil llamada myawesomeproxy, que transforma el sistema comprometido en un nodo proxy, permitiendo que otros utilicen su conexión a Internet.

La minería de criptomonedas consume recursos informáticos y electricidad, mientras que el software de proxy presenta un riesgo diferente. Los atacantes pueden redirigir el tráfico a través de conexiones residenciales o comerciales comprometidas, aprovechando su reputación y direcciones IP para acceder a servicios o redes que, de otro modo, podrían bloquear infraestructuras sospechosas. Por lo tanto, un servidor Plex puede convertirse no solo en una fuente de costos no deseados, sino también en un punto de apoyo para que un atacante realice actividades adicionales.

Plex lanzó versiones parcheadas en septiembre, y los administradores deben asegurarse de que estén ejecutando Plex Media Server 1.43.3.10861 o posterior. Esto incluye instalaciones en dispositivos NAS, máquinas virtuales y contenedores Docker. La actualización de la aplicación debe ser la prioridad inmediata, especialmente para los servidores expuestos directamente a Internet.

Además, los administradores deben investigar procesos secundarios inesperados iniciados por Plex, un uso de CPU inexplicado, archivos desconocidos en el directorio de códecs de Plex y conexiones salientes a direcciones IP no reconocidas. La aparición de mineros de criptomonedas o procesos de proxy merece una atención especial. Dado que los atacantes pueden cambiar nombres de archivos, infraestructura y cargas útiles, la detección no debe depender únicamente de una lista fija de indicadores.

Los hallazgos del honeypot proporcionan evidencia de explotación, pero no establecen cuántos sistemas en el mundo real han sido comprometidos ni identifican a los operadores con certeza. Las organizaciones deben tratar esta actividad como una advertencia para comprobar la exposición y aplicar parches con prontitud, en lugar de asumir que cada servidor vulnerable ya ha sido atacado.

"Me sorprendería si los actores de amenazas desplegaran cosas más sofisticadas. Plex puede estar alojado en una IP residencial y creo que los actores de amenazas estarían encantados de tener un proxy de IP residencial para acceder a VPNs corporativas y correos electrónicos", añade el investigador.

La situación actual es un recordatorio contundente para los administradores de sistemas sobre la importancia de mantener sus aplicaciones actualizadas y de adoptar prácticas de seguridad robustas en un entorno digital cada vez más amenazante.

◢ VULNERABILIDADES ◣

Plex2Shell Exploit Used to Turn Vulnerable Plex Servers Into Crypto Miners

⟫ 19/10/2026 ⟫ Pierluigi Paganini

Source: Security Affairs

Plex Media Server is designed to make movies, music, and other media available across devices. But when a server is exposed to the internet and runs vulnerable software, it can become an entry point for attackers who have little interest in your film collection. On October 16, 2026, security researcher Zach Main published technical details and proof-of-concept (PoC) code for a vulnerability chain dubbed Plex2Shell. Within a day, researchers had observed attackers using the exploit against an internet-facing honeypot, deploying cryptocurrency-mining malware and proxy software. The incident is a reminder of how quickly a public exploit can be weaponized by threat actors. The chain combines four vulnerabilities in Plex Media Server: CVE-2026-96652, CVE-2026-96654, CVE-2026-96655, and CVE-2026-96656. Together, they can allow attackers to execute arbitrary code on vulnerable servers without valid credentials, provided the required conditions are met. The code runs with the privileges of the Plex service, giving attackers an opportunity to install additional software and abuse the host. The technical details are available in Main’s original analysis,Plex2Shell. Plex had been notified of the vulnerabilities on July 27 and acknowledged the report on August 4, awarding a bug bounty. The company released fixes in September, before the exploit code became public. The loader does not check the library’s name, executable permissions, digital signature, or symbols. As a result, the library’s ELF constructor can run with the same privileges as the Plex service. “It doesn’t check for alibprefix, doesn’t require the execute bit, doesn’t verify any signature, and doesn’t look for any specific symbol.” reads thereportpublished by zmain.com. “Whendlopenloads a shared object, it runs the ELF’sDT_INIT_ARRAY(constructor functions) before doing any symbol resolution. A.sothat only has a constructor and no exported symbols will still execute its code on load. We then trigger a second transcode. The codec directory gets re-enumerated, the.sowe wrote in Stage 4 gets loaded, and the constructor runs asuid=1000(plex).” That detail matters because the final stage can exploit how Plex loads shared libraries. The chain uses a setting related to transcoding to influence execution, allowing a specially crafted library to run when Plex loads it. The result can be code execution under the service account, without requiring the attacker to obtain an interactive login first. The first confirmed activity appeared on October 17, when a researcher monitoring a vulnerable Plex honeypot reported seeing exploitation in the wild. “My honeypot mostly saw scanning and generic exploitation attempts. As of this morning (Oct 17th), I finally saw in the wild exploitation.”reports the researcher on BoredHackerBlog. “So by default, I don’t allow outbound traffic from my honeypots but due to how this vuln works, I had to go modify my settings later on so sadly I didn’t get payloads for all the attacks. It’s possible that I have partial data. I haven’t gone through pcaps and I had to modify settings for tcpdump anyway. The attacker could be using slightly modified code & technique too.” The attackers used the publicly available exploit to deploy an XMRig-based cryptocurrency miner. Later that day, the researcher found a second payload namedmyawesomeproxy, which turns the compromised system into a proxy node and may allow others to use its internet connection. Cryptomining consumes computing resources and electricity, while proxy software creates a different risk. Attackers can route traffic through compromised residential or business connections, potentially using their reputation and IP addresses to reach services or networks that might otherwise block suspicious infrastructure. A Plex server can therefore become more than a source of unwanted costs: it can provide an attacker with a foothold for further activity. Plex released patched versions in September, and administrators should ensure they’re runningPlex Media Server 1.43.3.10861or later. This includes installations running on NAS devices, virtual machines, and Docker containers. Updating the application is the immediate priority, particularly for servers exposed directly to the internet. Administrators should also investigate unexpected child processes launched by Plex, unexplained CPU usage, unfamiliar files in the Plex Codecs directory, and outbound connections to unrecognized IP addresses. The appearance of cryptocurrency miners or proxy processes deserves particular attention. Because attackers can change filenames, infrastructure, and payloads, detection shouldn’t depend on a fixed list of indicators alone. The honeypot findings provide evidence of exploitation, but they don’t establish how many real-world systems have been compromised or identify the operators with certainty. Organizations should treat the activity as a warning to check exposure and patch promptly, rather than assume that every vulnerable server has already been attacked. “I wouldn’t be surprised if threat actors deploy more sophisticated things. Plex may be hosted on residential IP and I think threat actors would love to have residential IP proxy to access corporate VPNs and emails. (edit: see update at the bottom. i do see proxy being deployed now)” the researchers adds. Follow me on Twitter:@securityaffairsandFacebookandMastodon Pierluigi Paganini (SecurityAffairs– hacking, Plex2Shell )

𝐗 Twitter f Facebook ☎ WhatsApp ✈ Telegram

← VOLVER A CIBERSEGURIDAD