Aanvallers maken actief misbruik van verschillende beveiligingslekken in Plex Media Server om kwetsbare servers te compromitteren. Plex publiceerde afgelopen september beveiligingsupdates voor de problemen en riep gebruikers op om die zo snel mogelijk te installeren, maar tienduizenden servers zijn nog altijd kwetsbaar. Details over de kwetsbaarheden zijn openbaar gemaakt. Ook is er proof-of-concept (PoC) exploitcode online verschenen.

Plex biedt software voor het opzetten van een mediaserver om daarmee media naar apparaten te streamen. Het bedrijf claimt meer dan 25 miljoen gebruikers wereldwijd te hebben. De in totaal vier kwetsbaarheden (CVE-2026-96652, CVE-2026-96654, CVE-2026-96655 en CVE-2026-96656) worden nu actief misbruikt, zo melden beveiligingsonderzoekers. Door de problemen te combineren kan een ongeauthenticeerde aanvaller code op kwetsbare Plex-mediaservers uitvoeren. De aanval kreeg de naam 'Plex2Shell'.

Bij de nu waargenomen aanvallen worden kwetsbare mediaservers voorzien van cryptominers, die de rekenkracht van het systeem gebruiken voor het minen van cryptovaluta. Daarnaast installeren de aanvallers ook proxysoftware, om vanaf de gehackte mediaserver verdere aanvallen uit te voeren. Dit is mogelijk doordat aanvallers eerst het admin-token weten te stelen dat de toegang tot server geeft. Vervolgens weet de aanvaller via een speciaal geprepareerde video malafide code naar codec directory te schrijven waarmee er een shell op het systeem wordt verkregen.

Vorige maand waarschuwde The Shadowserver Foundation dat op internet zo'n 36.000 kwetsbare Plex-mediaservers zijn te vinden. Die situatie is nog altijd niet veel veranderd, zo blijkt uit de laatste meting. Nederland telt nog altijd meer dan vijftienhonderd kwetsbare servers. Gebruikers worden opgeroepen om naar versie 1.43.3 of nieuwer te updaten. De onderzoeker die de kwetsbaarheden rapporteerde ontving hiervoor een beloning van 500 dollar.