CISA confirma exploração ativa das falhas Plex2Shell no Plex Media Server
Quatro falhas do Plex Media Server, encadeadas em ataques chamados de Plex2Shell, permitem que um atacante remoto sem autenticação execute código com os privilégios do servidor, em máquinas acessíveis pela internet. A CISA listou as falhas como exploradas ativamente e a Plex relata ataques amplos com mineradores de criptomoeda e software de proxy desde a divulgação de uma prova de conceito pública em 16 de outubro. Atualize para a versão 1.43.3.10861 ou posterior; servidores expostos e desatualizados devem ser tratados como comprometidos.
O que aconteceu
Quatro falhas do Plex Media Server, combinadas em ataques chamados Plex2Shell, permitem que invasores assumam servidores acessíveis pela internet sem senha. A CISA listou as falhas como exploradas ativamente e a Plex relata ataques amplos. Servidores invadidos foram usados para minerar criptomoedas e rotear tráfego de terceiros pela conexão da vítima.
Por que importa
Qualquer servidor Plex exposto à internet em versão anterior a 1.43.3.10861 pode estar comprometido, com uso indevido de processamento, banda e energia da empresa. Arquivos e credenciais ao alcance do servidor, como compartilhamentos montados na mesma máquina, devem ser considerados expostos. O atacante não precisa de login nem de senha.
O que fazer
Atualizar imediatamente todos os servidores Plex para 1.43.3.10861 ou posterior, incluindo NAS e Docker. Verificar processos suspeitos, arquivos desconhecidos na pasta Codecs e conexões ao domínio proxystream.st; servidores expostos e desatualizados devem ser reconstruídos com instalação limpa, com troca de senha da conta Plex. Desligar o acesso remoto se não for necessário.
Para o time técnico
- CVE
- CVE-2026-96652, CVE-2026-96654, CVE-2026-96655, CVE-2026-96656
- Afetados
- Plex Media Server · Plex Media Server anterior a 1.43.3.10861. O aviso da Plex cita Plex Media Server v1.43.2 e anteriores.
- Exploração
- Exploração ativa e ampla relatada pela Plex, com prova de conceito pública divulgada em 16 de outubro, segundo a Plex. A CISA listou as falhas como exploradas ativamente, conforme BleepingComputer, que nomeia os ataques de Plex2Shell.
- Correção
- Plex Media Server 1.43.3.10861 ou posterior (a Plex também liberou o Plex Desktop 1.115.0). Mitigação: desligar Remote Access em Settings e evitar redirecionar a porta 32400 diretamente.
- Vetor
- Cadeia de quatro falhas no Plex Media Server: SSRF sem autenticação no endpoint de timeline do player (CVE-2026-96652), acesso a funções internas do agente pela interface loopback (CVE-2026-96654), divulgação do token de administrador do dono do servidor (CVE-2026-96655) e escrita arbitrária de arquivos no diretório Codecs via preferências do transcoder (CVE-2026-96656). Encadeadas, permitem execução remota de código sem autenticação, com os privilégios do processo do Plex Media Server, em servidores acessíveis pela internet.
- Mais detalhes
- Plex publicou o aviso original em 1 de setembro de 2026 e os detalhes de CVE e exploração em 19 de outubro de 2026. Sinais de comprometimento citados pela Plex: processos iniciados pelo Plex com nomes myawesomeproxy, mylovelyminer ou x12345, arquivos .so ou .dll desconhecidos na pasta Codecs, conexões de saída para proxystream.st e CPU sustentadamente alta sem reprodução. Em caso de comprometimento, a Plex orienta reconstruir o servidor com instalação limpa, sem reutilizar o diretório de dados antigo, apagar todo o conteúdo da pasta Codecs, revisar opções de transcoder em Preferences.xml, desconectar todos os dispositivos da conta Plex e trocar a senha. Tratar montagens e credenciais acessíveis à conta do serviço como potencialmente expostas.
Indicadores (IoCs)
- myawesomeproxy
- mylovelyminer
- x12345
- proxystream.st
Linha do tempo
CISA lista as falhas do Plex como exploradas ativamente; correção disponível na 1.43.3.10861.
Fontes 3 fontes
- CISA / BleepingComputer: Plex2Shell actively exploited BleepingComputer
- Plex forum: Important Security Update Plex
- CVE-2026-96652 CVE.org
