Kod ataku na Plex trafił do sieci w piątek. W sobotę serwery kopały już Monero

Badacz celowo wystawił do Internetu stary serwer Plex Media Server, żeby zobaczyć, co się stanie. 17 października coś się stało. Trzy maszyny pod adresami 45.194.92.222, 91.92.40.202 i 176.65.139.228 po kolei przeprowadziły ten sam atak i zostawiły na nim dwie rzeczy: XMRig, koparkę Monero, oraz narzędzie proxy o nazwie myawesomeproxy, które po cichu wynajmuje domowe łącze ofiary obcym ludziom.

Atak nazywa się Plex2Shell i polega na ułożeniu w stos czterech osobnych błędów. CVE-2026-96652 i CVE-2026-96655 pozwalają napastnikowi zmusić serwer do pobrania dowolnego adresu URL bez prawdziwego logowania. CVE-2026-96654 kieruje to żądanie na wewnętrzny interfejs wtyczek. CVE-2026-96656, najpoważniejsza z oceną CVSS 8,6, zapisuje plik na dysku z uprawnieniami administratora. Plik ląduje w folderze Codecs i uruchamia się przy kolejnym transkodowaniu wideo, dlatego zabicie koparki niczego nie załatwia.

Dla Plexa nie jest to żadne zaskoczenie. Firma wydała poprawkę w Media Server 1.43.3.10861 i opublikowała komunikat bezpieczeństwa 1 września. W zeszłym tygodniu zmieniło się to, że 16 października badacz opublikował pełną analizę techniczną i działający kod, a pierwsze ataki przyszły w ciągu doby. Gizmodo podało, że w sobotę wystawionych było jeszcze około 49 000 serwerów. Jeśli używasz Plexa w domu, otwórz go, wejdź w ustawienia i zaktualizuj. I zastanów się, czy port 32400 naprawdę musi być widoczny z Internetu.

Pilnowanie aktualności zwykłych programów to nudna połowa bezpieczeństwa, dlatego aktualizator aplikacji w Tendvane korzysta z winget, żeby pokazać, co jest przestarzałe, i odświeżyć wszystko za jednym razem.