Codul de atac pentru Plex a apărut vineri. Sâmbătă, serverele minau deja Monero

Un cercetător a lăsat intenționat un Plex Media Server vechi expus pe internet, ca să vadă ce se întâmplă. Pe 17 octombrie s-a întâmplat. Trei mașini, la 45.194.92.222, 91.92.40.202 și 176.65.139.228, au rulat același atac una după alta și au lăsat două lucruri pe server: XMRig, un miner de Monero, și un instrument proxy numit myawesomeproxy, care închiriază discret conexiunea de acasă a victimei unor necunoscuți.

Atacul se numește Plex2Shell și funcționează prin stivuirea a patru defecte separate. CVE-2026-96652 și CVE-2026-96655 permit unui atacator să oblige serverul să descarce un URL ales de el, fără o autentificare reală. CVE-2026-96654 îndreaptă acea cerere spre o interfață internă de pluginuri. CVE-2026-96656, cea mai gravă, cu scor CVSS 8,6, scrie un fișier pe disc cu drepturi de administrator. Fișierul ajunge în folderul Codecs și rulează la următoarea transcodare a unui videoclip, motiv pentru care oprirea minerului nu rezolvă nimic.

Nimic din toate acestea nu e o surpriză pentru Plex. Compania a livrat corecția în Media Server 1.43.3.10861 și a publicat un anunț de securitate pe 1 septembrie. Ce s-a schimbat săptămâna trecută e că un cercetător a publicat detaliile tehnice complete și cod funcțional pe 16 octombrie, iar primele atacuri au venit în mai puțin de o zi. Gizmodo a relatat că sâmbătă mai erau expuse aproximativ 49.000 de servere. Dacă folosiți Plex acasă, deschideți-l, intrați în setări și actualizați-l. Și întrebați-vă dacă portul 32400 chiar trebuie să fie vizibil din internet.

Ținerea la zi a aplicațiilor obișnuite este jumătatea plictisitoare a securității, motiv pentru care modulul de actualizare a aplicațiilor din Tendvane folosește winget ca să vă arate ce este învechit și să rezolve totul dintr-o singură mișcare.