Основы Интернет - технологий.

ИБ-эксперты предупреждают, что хакеры начали массово эксплуатировать четыре уязвимости в Plex Media Server, получившие общее название Plex2Shell. Эти проблемы позволяют без аутентификации выполнить код на уязвимом сервере, а в реальных атаках злоумышленники уже используют баги для развертывания криптовалютных майнеров и прокси-софта. Следует отметить, что патчи для этих уязвимостей были выпущены еще летом 2026 года, а в начале сентября разработчики Plex призвали всех пользователей срочно обновиться до Plex Media Server версии 1.43.3. Однако тогда разработчики не раскрывали никаких подробностей о самих уязвимостях и лишь сообщали, что запросили для проблем идентификаторы CVE и опубликуют детали позднее. Ситуация начала проясняться лишь недавно. 16 октября 2026 года ИБ-исследователь Зак Мэйн (Zach Main), который обнаружил уязвимости и сообщил о них команде Plex еще в июле, опубликовал техническое описание проблем и PoC-эксплоит для всей цепочки Plex2Shell. После этого, 19 октября разработчики Plex раскрыли идентификаторы CVE и подтвердили, что баги уже находятся под массовыми атаками. Как стало известно, в Plex2Shell входят четыре уязвимости: CVE-2026-96652 (5,3 балла по шкале CVSS) представляет собой неаутентифицированную SSRF в эндпоинте /player/timeline: из-за отсутствия проверки параметра protocol атакующий может вынудить Plex отправить POST-запрос на произвольный адрес. CVE-2026-96654 (6,9 балла по шкале CVSS) связана с некорректной обработкой URL в searchOne и позволяет злоумышленнику вызывать функции других плагинов с контролируемыми параметрами, чтобы извлечь административный токен владельца сервера. CVE-2026-96655 (5,3 балла по шкале CVSS) представляет собой еще одну SSRF, позволяющая аутентифицированному пользователю обращаться к произвольным внутренним и внешним адресам через /video/:/transcode/universal. Например, атакующие могут вынудить сервер скачать заранее подготовленный файл с вредоносным ELF-пейлоадом. CVE-2026-96656 (8,6 балла по шкале CVSS) позволяет управлять именем и путем записываемого файла: злоумышленник может поместить вредоносную shared-библиотеку в выбранное место каталога Codecs, после чего Plex загрузит и выполнит ее. Хотя по отдельности проблемы получили от 5,3 до 8,6 балла по шкале CVSS, Мэйн оценивает всю цепочку уязвимостей на 9,8 балла. По словам исследователя, атака начинается с эксплуатации SSRF-багов и CVE-2026-96654, которые позволяют обратиться к внутренним API Plex и похитить административный токен владельца сервера. Затем злоумышленник может загрузить вредоносный ELF-файл, записать его в выбранную директорию и добиться выполнения кода с правами процесса Plex Media Server. Фактически это означает, что для полной компрометации доступного через интернет сервера хакеру не потребуются учетные данные. Практически сразу после публикации детальной информации о проблемах и PoC-эксплоита начались реальные атаки. Так, ИБ-исследователь под ником boredhackerblog сообщил, что развернул уязвимый Plex-ханипот и уже 17 октября зафиксировал успешную эксплуатацию Plex2Shell. Эту информацию вскоре подтвердили и эксперты из компании Censys. По данным исследователей, на взломанных серверах злоумышленники устанавливают майнер на базе XMRig, а также программу myawesomeproxy, работающую как обратный прокси. Кроме того, зараженные машины позволяют пропускать чужой трафик через домашние IP-адреса жертв, в том числе для доступа к корпоративным VPN и почте. Так как атаки носят массовый характер, 21 октября в Агентстве по кибербезопасности и защите инфраструктуры США (CISA) добавили уязвимости Plex2Shell в каталог активно эксплуатируемых и потребовали от федеральных ведомств устранить их до 23 октября текущего года. Тем временем разработчики Plex предупреждают, что все доступные из интернета инстансы Plex Media Server с версиями ниже 1.43.3.10861 следует считать потенциально скомпрометированными. Пользователям рекомендуют немедленно установить обновления и проверить систему на наличие подозрительных процессов и файлов. Кроме того, если удаленный доступ не используется, его советуют полностью отключить.