O código para atacar o Plex foi publicado na sexta-feira. No sábado já havia servidores a minerar Monero

Um investigador deixou de propósito um velho Plex Media Server exposto na Internet para ver o que acontecia. A 17 de outubro aconteceu. Três máquinas, em 45.194.92.222, 91.92.40.202 e 176.65.139.228, lançaram o mesmo ataque uma a seguir à outra e deixaram duas coisas no equipamento: o XMRig, um minerador de Monero, e uma ferramenta de proxy chamada myawesomeproxy que aluga em silêncio a ligação doméstica da vítima a estranhos.

O ataque chama-se Plex2Shell e funciona empilhando quatro falhas distintas. A CVE-2026-96652 e a CVE-2026-96655 permitem a um atacante obrigar o servidor a descarregar um URL à escolha dele sem qualquer autenticação verdadeira. A CVE-2026-96654 encaminha esse pedido para uma interface interna de plugins. A CVE-2026-96656, a mais grave com CVSS 8,6, escreve um ficheiro no disco com permissões de administrador. O ficheiro vai parar à pasta Codecs e corre da próxima vez que o Plex transcodifica um vídeo, razão pela qual matar o minerador não resolve nada.

Nada disto surpreende a Plex. A empresa lançou a correção no Media Server 1.43.3.10861 e publicou um aviso de segurança a 1 de setembro. O que mudou na semana passada foi um investigador ter divulgado os detalhes técnicos completos e código funcional a 16 de outubro, com os primeiros ataques a chegarem em menos de um dia. O Gizmodo noticiou cerca de 49 000 servidores ainda expostos no sábado. Se usa o Plex em casa, abra-o, vá às definições e atualize. E pergunte a si mesmo se a porta 32400 precisa mesmo de estar virada para a Internet.

Manter as aplicações correntes atualizadas é a metade aborrecida da segurança, e é por isso que o atualizador de aplicações do Tendvane usa o winget para lhe mostrar o que está desatualizado e tratar de tudo de uma só vez.