Aanvallers misbruiken sinds 17 oktober een keten van kwetsbaarheden in Plex Media Server, bekend geworden onder de naam Plex2Shell, om cryptominers en een verborgen Linux-achterdeur te installeren op kwetsbare servers. Dat meldt The Hacker News. De technische details van de keten werden een dag eerder, op 16 oktober, openbaar gemaakt, en binnen 24 uur volgde al actieve exploitatie.
De vier kwetsbaarheden in de keten
Onderzoeker Zach Main, bekend onder de alias boredhackerblog, meldde de fouten op 27 juli bij Plex. De keten bestaat uit vier samenhangende kwetsbaarheden die samen ongeauthenticeerde code-uitvoering mogelijk maken:
- CVE-2026-96652 (CVSS 5,3): server-side request forgery via het
/player/timeline-endpoint, zonder dat authenticatie nodig is. - CVE-2026-96654 (CVSS 6,9): onjuiste verwerking van URL’s in het
searchOne-endpoint, waarmee het admin-token van de serverbeheerder buitgemaakt kan worden. - CVE-2026-96655 (CVSS 5,3): een vergelijkbare SSRF-fout voor al geauthenticeerde gebruikers, via
/video/:/transcode/universal. - CVE-2026-96656 (CVSS 8,6): de zwaarste schakel, waarmee een aanvaller een bestand naar een zelfgekozen pad in de Codecs-map kan schrijven en vervolgens als uitvoerbaar ELF-bestand kan laten draaien.
Plex bracht op 3 augustus versie 1.43.3.10861 uit, die alle vier de fouten verhelpt.
Cryptominer en achterdeur tegelijk geïnstalleerd
Aanvallers laten kwetsbare servers via de keten een shellscript uitvoeren dat met wget of curl een miner met de naam “x12345” ophaalt van een server op het IP-adres 217.60.194.116. Andere waargenomen bronadressen zijn 91.92.40.202, 176.65.139.228 en 45.194.92.222. De payload bestaat uit twee onderdelen: “myawesomeproxy”, een verborgen Linux-achterdeur die tegelijk als reverse proxy fungeert, en “mylovelyminer”, een XMRig-gebaseerde cryptominer die verbinding maakt met ota.proxystream.st. Een gerelateerd subdomein, global.relay.proxystream.st, werd in augustus al door onderzoeksbureau Bitsight gekoppeld aan het AISURU-botnet, dat wordt ingezet voor DDoS-aanvallen en proxyware.
Op Reddit melden intussen meerdere Plex-gebruikers dat hun server is gecompromitteerd met precies dezelfde mylovelyminer-payload, al is nog niet bevestigd of al die gevallen via Plex2Shell verliepen. The Hacker News heeft Plex om een reactie gevraagd.
Wie zelf een Plex Media Server beheert, thuis of voor een klein mediabedrijf, moet nu controleren welke versie er draait. Alles onder 1.43.3.10861 is kwetsbaar en verdient een update met voorrang, ook als de server alleen binnen het eigen netwerk bereikbaar lijkt. Kijk daarnaast naar verdachte geplande taken, onbekende processen met namen als x12345 of mylovelyminer, en netwerkverbindingen naar de hierboven genoemde IP-adressen en domeinen.
Bron: The Hacker News
Wat betekent dit voor jouw bedrijf?
Draait u zelf een Plex Media Server, bijvoorbeeld thuis of voor een klein mediabedrijf? Werk hem bij naar versie 1.43.3.10861 of hoger en controleer op geplande taken, onbekende processen of verbindingen met de genoemde IP-adressen en domeinen, ook als u al langer niet hebt geüpdatet.
Zelfde kwetsbaarheid
Blijf op de hoogte
Meld je aan voor de nieuwsbrief: spoedalerts bij kritieke dreigingen en een wekelijks overzicht. Geen mail achterlaten? Volg ons dan via RSS.