Agentes maliciosos começaram a ter como alvo o Plex2Shell, uma cadeia de quatro vulnerabilidades do Plex Media Server, um dia após detalhes técnicos e um código de exploração funcional se tornarem públicos.
O pesquisador que descobriu as falhas do Plex2Shell publicou um relatório técnico e um código de prova de conceito (PoC) em 16 de outubro. Identificadas como CVE-2026-96652, CVE-2026-96654, CVE-2026-96655 e CVE-2026-96656 (sigla de Common Vulnerabilities and Exposures, ou Vulnerabilidades e Exposições Comuns), as falhas podem ser combinadas para executar código arbitrário em um servidor exposto, sem a necessidade de credenciais válidas. O código roda com os mesmos privilégios do serviço Plex.
As falhas foram reportadas à Plex em 27 de julho. A empresa confirmou os problemas e concedeu uma recompensa por bug em 4 de agosto. Em 1º de setembro, a Plex anunciou que já havia disponibilizado correções e pediu que os donos dos servidores atualizassem seus sistemas.
Um pesquisador diferente flagrou os ataques ao montar uma armadilha virtual (honeypot) voltada para a internet, executando uma versão vulnerável do Plex. Antes de 17 de outubro, a isca havia atraído, em grande parte, varreduras de reconhecimento e tentativas genéricas de ataque.
“Desde esta manhã (17 de outubro), finalmente vi exploração em ambiente real”, escreveu o pesquisador. Segundo ele, os atacantes usaram o código de exploração divulgado publicamente, embora possam ter feito alterações nele.
Os atacantes foram observados instalando um minerador de criptomoedas baseado no XMRig. Mais tarde naquele dia, um segundo programa, chamado myawesomeproxy, também apareceu na armadilha. O pesquisador o identificou como um software de proxy, que exibe um aviso informando que quem o executa concorda com o possível uso do seu tráfego de internet.
“O Plex pode estar hospedado em um IP (protocolo de internet) residencial, e acho que os atacantes adorariam ter um proxy de IP residencial para acessar VPNs (redes privadas virtuais) corporativas e e-mails”, escreveu o pesquisador.
O pesquisador alertou que os indicadores de comprometimento divulgados, conhecidos como IoCs (sigla de indicators of compromise), cobrem apenas a atividade observada na armadilha.
Em seu comunicado de setembro, a Plex recomendou que todos os donos de servidores instalassem a versão mais recente sem demora.
