Plex2Shell-angrep utnytter fire sårbarheter i Plex Media Server

Plex2Shell-angrep retter seg mot Plex Media Server gjennom en kjede av fire sårbarheter, ifølge det amerikanske cybersikkerhetsbyrået CISA. Sammen gjør svakhetene det mulig for angripere å skaffe seg servereierens administratortoken og kjøre kode med forhøyede rettigheter.

CISA har pålagt føderale myndigheter å sikkerhetsoppdatere berørte systemer eller iverksette tiltak innen 23. oktober. Samtidig beskriver rapporter om utnyttelse at angripere distribuerer skadevare for utvinning av kryptovaluta.

Fire sårbarheter kombineres til en kritisk angrepskjede

Plex Media Server lar brukere organisere filmer, TV-serier, musikk og bilder. Tjenesten støtter også strømming over lokale nettverk og eksternt via internett.

Sikkerhetsforskeren Zach Main oppdaget sårbarhetene og rapporterte dem til Plex 27. juli. Selv om de enkelte svakhetene har middels eller høy alvorlighetsgrad, gir Main den kombinerte angrepskjeden en kritisk poengsum på 9,8.

Kjeden omfatter fire sikkerhetssvakheter:

• CVE-2026-96652: En SSRF-sårbarhet (server-side request forgery) i /player/timeline gjør det mulig for ikke-autentiserte angripere å utløse POST-forespørsler til vilkårlige destinasjoner, inkludert interne Plex-API-er.
• CVE-2026-96654: En URL-injeksjonssårbarhet i searchOne lar angripere kalle opp funksjoner i andre programtillegg med parametere de selv kontrollerer.
• CVE-2026-96655: En autentisert SSRF-sårbarhet i transkoderens endepunkt tillater forespørsler til vilkårlige interne eller eksterne adresser.
• CVE-2026-96656: En sårbarhet som tillater vilkårlig filskriving i transkoderinnstillingene, lar administratorer plassere ondsinnede delte biblioteker som Plex deretter laster inn, noe som muliggjør kodekjøring.

Sammen skaper disse svakhetene en vei fra uautoriserte forespørsler til administratortilgang og kodekjøring.

Plex2Shell-angrep følger etter offentlig teknisk avsløring

Main publiserte tekniske detaljer om sårbarhetene 16. oktober. Rapporter om aktiv utnyttelse dukket deretter opp 17. oktober, før forskeren publiserte en proof-of-concept-utnyttelseskode 19. oktober.

De første rapportene beskrev angrep mot Plex-honeypoter der angriperne forsøkte å installere en kryptovalutaminer. Disse lokkesystemene hjelper forskere med å observere ondsinnet aktivitet.

Observasjonene fastslår imidlertid ikke det totale antallet kompromitterte Plex-servere. CISAs advarsel bekrefter aktiv utnyttelse uten å oppgi noe antall ofre i den tilgjengelige redegjørelsen.

Sikkerhetsoppdatert Plex-versjon har vært tilgjengelig siden august

Plex2Shell påvirker versjoner av Plex Media Server som er eldre enn 1.43.3.10861. Plex lanserte denne versjonen 4. august, etter forskerens private rapportering.

Administratorer bør derfor kontrollere hvilken versjon de har installert, og oppgradere berørte servere til en sikkerhetsoppdatert versjon.

Fristen 23. oktober gjelder føderale myndigheter som omfattes av CISAs direktiv. Likevel gir rapportene om utnyttelse også andre Plex-administratorer en tydelig grunn til å prioritere oppdateringer.

Siemens Software Center er også utsatt for aktiv utnyttelse

I tillegg til Plex-sårbarhetene la CISA til en svakhet i Siemens Software Center i sin katalog over kjente utnyttede sårbarheter, Known Exploited Vulnerabilities.

Sårbarheten, registrert som CVE-2026-110936, involverer et ukontrollert søkestielement. Siemens advarte 19. oktober om at angripere utnyttet den i kampanjer knyttet til Romulus, en plattform for å levere flere nyttelaster gjennom ClickFix-angrep.

Forskerne har imidlertid ikke fastslått hvordan Romulus opererer. Mulige forklaringer inkluderer en privat plattform, en kriminell distribusjonstjeneste, et affiliate-rammeverk eller programvare som deles mellom ulike operatører.

Siemens har publisert indikatorer på kompromittering og veiledning for å identifisere berørte systemer. Selskapet oppfordrer også administratorer til å installere Siemens Software Center 4.0.9.8 eller nyere.

SiteGuard-sårbarhet for kommandoinjeksjon legges til i CISAs katalog

CISA la også til CVE-2026-106931, en sårbarhet for kommandoinjeksjon i operativsystemet som påvirker SiteGuard Server Edition.

Både leverandøren og Japans CERT hadde varslet om aktiv utnyttelse før sårbarheten ble lagt til i katalogen.

Leverandøren anbefaler versjon 8.00 Update 5 eller nyere for SiteGuard Server Edition på Apache httpd, Nginx og IIS. For Apache httpd og Nginx på FreeBSD bør administratorer installere versjon 7.00 Update 6 eller nyere.

Disse tilleggene viser at aktive angrep retter seg mot flere forskjellige serverprodukter. Administratorer bør kontrollere hver berørte applikasjon og installere de relevante oppdateringene fra leverandørene.