Il codice per sfruttare Plex è uscito venerdì. Già sabato i server minavano Monero

Un ricercatore ha lasciato di proposito un vecchio Plex Media Server esposto su Internet per vedere cosa sarebbe successo. Il 17 ottobre è successo. Tre macchine, agli indirizzi 45.194.92.222, 91.92.40.202 e 176.65.139.228, hanno lanciato lo stesso attacco una dopo l'altra e hanno lasciato due cose sul sistema: XMRig, un miner di Monero, e uno strumento proxy chiamato myawesomeproxy che affitta in silenzio la connessione domestica della vittima a degli sconosciuti.

L'attacco si chiama Plex2Shell e funziona impilando quattro difetti distinti. CVE-2026-96652 e CVE-2026-96655 permettono a un attaccante di far scaricare al server un URL a sua scelta senza un vero accesso. CVE-2026-96654 indirizza quella richiesta verso un'interfaccia interna dei plugin. CVE-2026-96656, la più grave con CVSS 8,6, scrive un file su disco con i privilegi dell'amministratore. Il file finisce nella cartella Codecs e viene eseguito alla successiva transcodifica di un video, motivo per cui chiudere il miner non basta a liberarsene.

Nulla di tutto questo sorprende Plex. L'azienda ha rilasciato la correzione in Media Server 1.43.3.10861 e pubblicato un avviso di sicurezza il 1 settembre. Quello che è cambiato la scorsa settimana è che un ricercatore ha diffuso i dettagli tecnici completi e il codice funzionante il 16 ottobre, e i primi attacchi sono arrivati entro un giorno. Gizmodo ha riferito di circa 49.000 server ancora esposti sabato. Se usate Plex in casa, apritelo, andate nelle impostazioni e aggiornatelo. E chiedetevi se la porta 32400 debba davvero affacciarsi su Internet.

Tenere aggiornate le applicazioni comuni è la metà noiosa della sicurezza, ed è per questo che l'aggiornamento app di Tendvane usa winget per mostrarvi cosa è obsoleto e sistemarlo in un colpo solo.