Код експлойта для Plex оприлюднили в п'ятницю. Уже в суботу сервери копали Monero

Дослідник навмисно залишив старий Plex Media Server відкритим в інтернеті, щоб подивитися, що станеться. 17 жовтня сталося. Три машини з адресами 45.194.92.222, 91.92.40.202 і 176.65.139.228 одна за одною провели ту саму атаку і залишили на сервері дві речі: XMRig, майнер Monero, і проксі-інструмент myawesomeproxy, який тихо здає домашнє підключення жертви в оренду стороннім людям.

Атака називається Plex2Shell і будується на нашаруванні чотирьох окремих вад. CVE-2026-96652 і CVE-2026-96655 дозволяють нападнику змусити сервер завантажити будь-яку обрану ним адресу без справжнього входу. CVE-2026-96654 спрямовує цей запит на внутрішній інтерфейс плагінів. CVE-2026-96656, найсерйозніша з оцінкою CVSS 8,6, записує файл на диск із правами адміністратора. Файл потрапляє до теки Codecs і запускається під час наступного перекодування відео, тому просто зупинити майнер недостатньо.

Для Plex у цьому немає нічого нового. Компанія випустила виправлення в Media Server 1.43.3.10861 і опублікувала повідомлення про безпеку 1 вересня. Минулого тижня змінилося інше: 16 жовтня дослідник оприлюднив повний технічний розбір і робочий код, а перші атаки надійшли менш ніж за добу. Gizmodo повідомило, що в суботу відкритими залишалися близько 49 000 серверів. Якщо ви користуєтеся Plex удома, відкрийте програму, зайдіть у налаштування й оновіть її. І запитайте себе, чи справді порт 32400 має дивитися у відкритий інтернет.

Тримати звичайні програми свіжими - нудна половина безпеки, і саме тому модуль оновлення застосунків Tendvane використовує winget, щоб показати, що застаріло, і оновити все за один раз.