El código para atacar Plex se publicó el viernes. El sábado ya había servidores minando Monero

Un investigador dejó a propósito un viejo Plex Media Server expuesto en Internet para ver qué pasaba. El 17 de octubre pasó algo. Tres máquinas, en 45.194.92.222, 91.92.40.202 y 176.65.139.228, lanzaron el mismo ataque una tras otra y dejaron dos cosas en el equipo: XMRig, un minador de Monero, y una herramienta proxy llamada myawesomeproxy que alquila en silencio la conexión doméstica de la víctima a desconocidos.

El ataque se llama Plex2Shell y funciona apilando cuatro fallos distintos. CVE-2026-96652 y CVE-2026-96655 permiten a un atacante hacer que el servidor descargue una URL elegida por él sin un inicio de sesión real. CVE-2026-96654 dirige esa petición hacia una interfaz interna de complementos. CVE-2026-96656, la más grave con un CVSS de 8,6, escribe un archivo en disco con permisos de administrador. El archivo acaba en la carpeta Codecs y se ejecuta la próxima vez que Plex transcodifica un vídeo, por eso matar el minador no sirve para librarse de él.

Nada de esto sorprende a Plex. La empresa publicó la corrección en Media Server 1.43.3.10861 y un aviso de seguridad el 1 de septiembre. Lo que cambió la semana pasada es que un investigador difundió los detalles técnicos completos y código funcional el 16 de octubre, y los primeros ataques llegaron en menos de un día. Gizmodo informó de unos 49.000 servidores todavía expuestos el sábado. Si usa Plex en casa, ábralo, entre en la configuración y actualícelo. Y pregúntese si el puerto 32400 necesita de verdad asomarse a Internet.

Mantener al día las aplicaciones corrientes es la mitad aburrida de la seguridad, y por eso el actualizador de aplicaciones de Tendvane usa winget para mostrarle qué está obsoleto y ponerlo al día de una sola vez.