Plex2Shell-Angriffe nutzen vier Schwachstellen in Plex Media Server aus

Plex2Shell-Angriffe zielen über eine Kette von vier Schwachstellen auf Plex Media Server ab, wie die US-amerikanische Cybersicherheitsbehörde CISA berichtet. Zusammen ermöglichen die Sicherheitslücken Angreifern, das Administrator-Token des Serverbesitzers zu erlangen und Code mit erhöhten Berechtigungen auszuführen.

CISA hat Bundesbehörden angewiesen, betroffene Systeme bis zum 23. Oktober mit Sicherheitsupdates zu versehen oder Schutzmaßnahmen umzusetzen. Unterdessen beschreiben Berichte über die Ausnutzung der Schwachstellen, wie Angreifer Malware zum Schürfen von Kryptowährungen installieren.

Vier Schwachstellen bilden eine kritische Angriffskette

Plex Media Server ermöglicht es Nutzern, Filme, Fernsehserien, Musik und Fotos zu organisieren. Die Software unterstützt außerdem das Streaming über lokale Netzwerke und den Fernzugriff über das Internet.

Der Sicherheitsforscher Zach Main entdeckte die Schwachstellen und meldete sie am 27. Juli an Plex. Obwohl die einzelnen Sicherheitslücken einen mittleren oder hohen Schweregrad aufweisen, bewertet Main die kombinierte Angriffskette mit einem kritischen Wert von 9,8.

Die Angriffskette umfasst vier Sicherheitslücken:

• CVE-2026-96652: Eine Server-Side-Request-Forgery-Schwachstelle (SSRF) in /player/timeline ermöglicht es nicht authentifizierten Angreifern, POST-Anfragen an beliebige Ziele auszulösen, einschließlich interner Plex-APIs.
• CVE-2026-96654: Eine URL-Injection-Schwachstelle in searchOne erlaubt es Angreifern, Funktionen anderer Plugins mit selbst kontrollierten Parametern aufzurufen.
• CVE-2026-96655: Eine authentifizierte SSRF-Schwachstelle im Transcoder-Endpunkt ermöglicht Anfragen an beliebige interne oder externe Adressen.
• CVE-2026-96656: Eine Schwachstelle, die das Schreiben beliebiger Dateien in den Transcoder-Einstellungen ermöglicht, erlaubt Administratoren, schädliche gemeinsam genutzte Bibliotheken zu platzieren, die Plex anschließend lädt. Dadurch wird die Ausführung von Code ermöglicht.

Zusammen schaffen diese Schwachstellen einen Weg von unautorisierten Anfragen über Administratorzugriff bis hin zur Ausführung von Code.

Plex2Shell-Angriffe folgen auf öffentliche technische Offenlegung

Main veröffentlichte am 16. Oktober technische Details zu den Schwachstellen. Berichte über aktive Angriffe tauchten anschließend am 17. Oktober auf, bevor der Forscher am 19. Oktober einen Proof-of-Concept-Exploit veröffentlichte.

Die ersten Berichte beschrieben Angriffe auf Plex-Honeypots, bei denen Angreifer versuchten, einen Kryptowährungs-Miner zu installieren. Diese Ködersysteme helfen Forschern dabei, bösartige Aktivitäten zu beobachten.

Allerdings lassen diese Beobachtungen keine Rückschlüsse auf die Gesamtzahl kompromittierter Plex-Server zu. Die Warnung von CISA bestätigt die aktive Ausnutzung, nennt in der vorliegenden Darstellung jedoch keine Opferzahl.

Gepatchte Plex-Version ist seit August verfügbar

Plex2Shell betrifft Versionen von Plex Media Server, die älter als 1.43.3.10861 sind. Plex veröffentlichte diese Version am 4. August, nachdem der Forscher die Schwachstellen vertraulich gemeldet hatte.

Administratoren sollten daher ihre installierte Version überprüfen und betroffene Server auf eine Version mit entsprechenden Sicherheitskorrekturen aktualisieren.

Die Frist vom 23. Oktober gilt für Bundesbehörden, die unter die CISA-Anweisung fallen. Dennoch geben die Berichte über aktive Angriffe auch anderen Plex-Administratoren einen klaren Grund, Updates zu priorisieren.

Auch Siemens Software Center ist von aktiven Angriffen betroffen

Neben den Plex-Schwachstellen nahm CISA eine Sicherheitslücke in Siemens Software Center in seinen Katalog bekannter ausgenutzter Schwachstellen, den Known Exploited Vulnerabilities Catalog, auf.

Die unter CVE-2026-110936 erfasste Schwachstelle betrifft ein unkontrolliertes Suchpfadelement. Siemens warnte am 19. Oktober, dass Angreifer die Sicherheitslücke in Kampagnen ausnutzen, die mit Romulus in Verbindung stehen. Dabei handelt es sich um eine Plattform zur Verbreitung mehrerer Schadsoftware-Payloads über ClickFix-Angriffe.

Allerdings haben Forscher das Betriebsmodell von Romulus noch nicht geklärt. Mögliche Erklärungen umfassen eine private Plattform, einen kriminellen Verbreitungsdienst, ein Affiliate-Framework oder Software, die von verschiedenen Betreibern gemeinsam genutzt wird.

Siemens hat Indikatoren für eine Kompromittierung sowie Anleitungen zur Identifizierung betroffener Systeme veröffentlicht. Das Unternehmen fordert Administratoren außerdem auf, Siemens Software Center 4.0.9.8 oder höher zu installieren.

SiteGuard-Schwachstelle für Befehlsinjektion in CISA-Katalog aufgenommen

CISA nahm außerdem CVE-2026-106931 auf, eine Schwachstelle zur Einschleusung von Betriebssystembefehlen, die SiteGuard Server Edition betrifft.

Sowohl der Hersteller als auch Japans CERT hatten bereits vor der Aufnahme in den Katalog vor einer aktiven Ausnutzung gewarnt.

Der Hersteller empfiehlt Version 8.00 Update 5 oder höher für SiteGuard Server Edition auf Apache httpd, Nginx und IIS. Für Apache httpd und Nginx unter FreeBSD sollten Administratoren Version 7.00 Update 6 oder höher installieren.

Diese Ergänzungen verdeutlichen, dass aktive Angriffe auf mehrere unterschiedliche Serverprodukte abzielen. Administratoren sollten jede betroffene Anwendung überprüfen und die entsprechenden Sicherheitsupdates der Hersteller installieren.