Am Freitag wurde der Exploit-Code für Plex veröffentlicht. Am Samstag schürften Server Monero

Ein Forscher ließ absichtlich einen alten Plex Media Server offen im Internet stehen, um zu sehen, was passiert. Am 17. Oktober passierte etwas. Drei Rechner unter 45.194.92.222, 91.92.40.202 und 176.65.139.228 fuhren nacheinander denselben Angriff und legten zwei Dinge auf dem System ab: XMRig, einen Monero-Miner, und ein Proxy-Werkzeug namens myawesomeproxy, das die Internetverbindung des Opfers still an Fremde vermietet.

Der Angriff heißt Plex2Shell und funktioniert, indem er vier getrennte Fehler stapelt. CVE-2026-96652 und CVE-2026-96655 lassen einen Angreifer den Server eine beliebige URL abrufen, ohne sich wirklich anzumelden. CVE-2026-96654 lenkt diese Anfrage auf eine interne Plugin-Schnittstelle. CVE-2026-96656, mit CVSS 8,6 die schwerwiegendste, schreibt eine Datei mit Administratorrechten auf die Platte. Sie landet im Ordner Codecs und läuft, sobald Plex das nächste Mal ein Video transkodiert, weshalb das Beenden des Miners das Problem nicht beseitigt.

Für Plex ist davon nichts neu. Das Unternehmen hat den Fix in Media Server 1.43.3.10861 ausgeliefert und am 1. September einen Sicherheitshinweis veröffentlicht. Geändert hat sich vergangene Woche, dass ein Forscher am 16. Oktober die vollständigen technischen Details samt funktionierendem Code publizierte und die ersten Angriffe innerhalb eines Tages folgten. Gizmodo berichtete am Samstag von rund 49.000 weiterhin erreichbaren Servern. Wer Plex zu Hause betreibt, sollte das Programm öffnen, in die Einstellungen gehen und aktualisieren. Und sich fragen, ob Port 32400 wirklich ins offene Internet zeigen muss.

Gewöhnliche Programme aktuell zu halten ist die langweilige Hälfte der Sicherheit, und genau deshalb nutzt die App-Aktualisierung von Tendvane winget, um Ihnen zu zeigen, was veraltet ist, und alles in einem Durchgang zu erneuern.