Владельцы Plex Media Server снова получили повод срочно проверить свои серверы. Атакующие начали использовать цепочку уязвимостей Plex2Shell почти сразу после публикации технических деталей и ставят на машины майнеры XMRig и Linux-прокси-бэкдор.

Сценарий знакомый: сервер работает, но ресурсы уходят в чужой карман. На заражённых узлах злоумышленники запускают процесс майнинга и загружают скрытую программу для перехвата и перенаправления трафика. В таких атаках особенно опасно то, что вредонос запускается не одним багом, а цепочкой из нескольких ошибок.

История инцидента

Исследователь под ником boredhackerblog показал, как четыре уязвимости в Plex Media Server можно связать в один рабочий сценарий. Цепочку назвали Plex2Shell: сначала атакующий добивается нужных запросов к серверу, затем получает токен администратора, после чего может подгрузить и запустить вредоносный ELF-файл.

По данным источника, баги получили номера CVE-2026-96652, CVE-2026-96654, CVE-2026-96655 и CVE-2026-96656. Plex закрыла их в версии 1.43.3.10861, которую выпустили 3 августа 2026 года, а о попытках эксплуатации в реальной среде сообщили уже после публикации PoC 16 октября 2026 года.

Наблюдатели зафиксировали загрузку майнера с удалённого сервера 217.60.194[.]116. В атаках также фигурировал файл с именем „myawesomeproxy“ — его VirusTotal описывает как скрытный Linux-бэкдор и обратный прокси. Параллельно на заражённых системах запускался XMRig-процесс „mylovelyminer“.

Что пошло не так в защите

Главная проблема — не одна уязвимость, а их комбинация. Одна ошибка в обработке URL даёт возможность заставить сервер сделать запрос туда, куда нужно атакующему. Другая помогает добраться до админского токена. Третья позволяет тянуть вредоносный файл, а четвёртая — положить его в нужное место и выполнить.

Такой сценарий показывает, почему опасны даже баги средней тяжести, если их можно сложить в цепочку. Отдельно каждый из них может выглядеть не критично, но вместе они дают удалённое выполнение кода без аутентификации. Похожая логика уже встречалась в других инцидентах, например в разборе дыры в curl через HTTP/2: одна ошибка редко живёт в вакууме.

Дополнительный риск — публичный PoC. Как только схема становится известна, атакующие быстро автоматизируют её под массовый поиск уязвимых серверов. В итоге пострадавшие нередко узнают о проблеме не от производителя, а по росту нагрузки, странным процессам и неизвестным соединениям наружу.

Уроки для читателя

Если у вас дома или в офисе стоит серверный софт, обновления нельзя откладывать «до выходных». Здесь особенно важно смотреть не только на сам Plex или другой сервер, но и на его сетевую экспозицию, права процессов и исходящие подключения.

Отдельно стоит помнить про майнеры. Они редко ломают систему шумно: сначала вы видите лишь медленную работу, рост температуры, странные пики CPU и новый сервис в автозагрузке. Если же на устройстве ещё появился прокси-бэкдор, риск уже выходит за рамки одной перегрузки — через него могут гонять чужой трафик или использовать вашу машину как промежуточное звено.

Похожая история уже была в материалах про подмену обновлений AOMEI Backupper: злоумышленники любят не просто проникнуть в систему, а закрепиться незаметно и превратить её в инфраструктуру для следующих атак.

Если вам нужен дополнительный слой защиты данных в поездках и при работе с чужими сетями, пригодится шифрование трафика на личных устройствах. Но это не заменяет патчи и не спасает от уязвимого сервера — сначала нужно закрыть дыру, а уже потом думать о дополнительных мерах.

Практические выводы и чек-лист

  • Проверьте, установлена ли версия Plex Media Server 1.43.3.10861 или новее.
  • Ограничьте доступ к серверу из интернета, если он не должен быть открыт наружу.
  • Просмотрите процессы на хосте: ищите неизвестные майнеры, прокси и свежие исполняемые файлы.
  • Проверьте исходящие соединения сервера на неизвестные IP-адреса и домены.
  • Убедитесь, что учётная запись и токены администратора не были скомпрометированы.
  • Пересмотрите права записи в каталогах, где сервер хранит исполняемые модули и кодеки.
  • Включите мониторинг нагрузки CPU и диска: майнеры часто выдают себя именно здесь.
  • Если вы нашли подозрительные артефакты, изолируйте сервер от сети и проведите полную проверку.
  • Введите правило: любые серверные обновления ставить без задержки, особенно после сообщений о массовой эксплуатации.
Поделиться: