La catena di vulnerabilità 'Plex2Shell' in Plex Media Server è attivamente sfruttata per installare malware, inclusi miner di criptovalute e backdoor. Gli esperti sollecitano aggiornamenti immediati.
Una serie di vulnerabilità critiche, collettivamente denominate 'Plex2Shell', è attualmente oggetto di sfruttamento attivo da parte di minacciosi attori informatici. Queste falle, individuate in Plex Media Server, vengono utilizzate per installare malware, in particolare miner di criptovalute e software di reverse proxy, che possono compromettere ulteriormente la sicurezza dei sistemi infetti.
La catena di attacco 'Plex2Shell' sfrutta la combinazione di quattro distinte vulnerabilità, che permettono agli aggressori di ottenere l'esecuzione remota di codice non autenticata su istanze vulnerabili di Plex Media Server. Le vulnerabilità specifiche identificate sono:
Queste vulnerabilità, insieme alla CVE-2026-96651 (CVSS 7.1), sono state segnalate a Plex il 27 luglio 2026 dal ricercatore di sicurezza Zach Main. Plex ha rilasciato una patch per queste falle con la versione Plex Media Server 1.43.3.10861 il 3 agosto 2026.
Nonostante la disponibilità della patch, attacchi attivi che sfruttano queste vulnerabilità sono stati osservati a partire dal 17 ottobre 2026, il giorno successivo alla pubblicazione dei dettagli tecnici della catena 'Plex2Shell'. Gli attacchi mirano a distribuire diversi tipi di malware:
Le attività di sfruttamento sono state tracciate da diversi indirizzi IP, tra cui 91.92.40[.]202, 176.65.139[.]228 e 45.194.92[.]222.
Le nuove informazioni rivelano che la catena di vulnerabilità sfrutta il modo in cui Plex gestisce il caricamento delle librerie condivise, in particolare durante il processo di transcodifica. Un attaccante può sfruttare la vulnerabilità CVE-2026-96656 per posizionare una libreria ELF dannosa nella directory "Codecs". Questa libreria, anche se non firmata digitalmente o con permessi di esecuzione specifici, può essere caricata da Plex. Il meccanismo di caricamento delle librerie condivise in Linux esegue le funzioni costruttore (DT_INIT_ARRAY) prima della risoluzione dei simboli. Questo significa che il codice malevolo nella libreria viene eseguito con i privilegi del servizio Plex (tipicamente uid=1000) non appena la libreria viene caricata, senza la necessità di un login interattivo.
La ricerca indica che il loader di librerie non effettua controlli rigorosi sul nome del file, sui permessi di esecuzione, sulla firma digitale o sui simboli, permettendo l'esecuzione di codice arbitrario. Questo passaggio è cruciale per l'installazione dei payload successivi, come il miner di criptovalute o la backdoor.
I ricercatori hanno osservato attacchi attivi contro honeypot vulnerabili a partire dal 17 ottobre 2026. Un ricercatore ha documentato come, dopo aver modificato le impostazioni di rete per consentire il traffico in uscita, abbia potuto osservare l'esecuzione di exploit in natura. Sebbene i payload iniziali fossero parziali a causa delle restrizioni di rete, le analisi successive hanno confermato la distribuzione di un miner XMRig e di un artefatto chiamato "myawesomeproxy", identificato come una backdoor Linux e un software di reverse proxy. Quest'ultimo può essere utilizzato per instradare traffico attraverso la connessione internet della vittima, compromettendone la reputazione e l'indirizzo IP.
L'utilizzo di un server Plex compromesso come nodo proxy o per il mining di criptovalute non solo genera costi aggiuntivi per la vittima, ma può anche fornire agli attaccanti un punto d'appoggio per ulteriori attività malevole.
La situazione evidenzia la rapidità con cui le vulnerabilità, una volta resi pubblici i dettagli tecnici, possono essere sfruttate da attori malevoli. Sebbene Plex abbia rilasciato tempestivamente le patch, molti utenti potrebbero non aver ancora aggiornato i propri server. Esistono anche indicazioni su forum come Reddit che suggeriscono compromissioni di istanze Plex con payload simili, sebbene non sia ancora confermato se derivino specificamente dallo sfruttamento di 'Plex2Shell'.
È fondamentale che tutti gli utenti di Plex Media Server aggiornino immediatamente il proprio software alla versione più recente disponibile (1.43.3.10861 o successiva). Mantenere il software aggiornato è la difesa più efficace contro queste minacce attive e protegge da potenziali compromissioni e dall'installazione di malware sui propri sistemi. Si raccomanda inoltre di monitorare processi figli inattesi avviati da Plex, un utilizzo anomalo della CPU, la presenza di file sconosciuti nella directory "Codecs" e connessioni in uscita verso indirizzi IP non riconosciuti.
Contenuto generato automaticamente da intelligenza artificiale a partire da fonti pubbliche. Non garantiamo l'accuratezza assoluta delle informazioni: consulta sempre la fonte originale. I diritti sui contenuti originali appartengono ai rispettivi editori.
