Plex2Shell-angreb udnytter fire sårbarheder i Plex Media Server

Plex2Shell-angreb er rettet mod Plex Media Server gennem en kæde af fire sårbarheder, ifølge det amerikanske cybersikkerhedsagentur CISA. Tilsammen gør fejlene det muligt for angribere at få fat i serverejerens administratortoken og udføre kode med forhøjede rettigheder.

CISA har pålagt føderale myndigheder at sikkerhedsopdatere berørte systemer eller iværksætte afhjælpende foranstaltninger senest den 23. oktober. Samtidig beskriver rapporter om udnyttelse, hvordan angribere installerer malware til udvinding af kryptovaluta.

Fire sårbarheder kombineres til en kritisk angrebskæde

Plex Media Server giver brugerne mulighed for at organisere film, tv-serier, musik og billeder. Tjenesten understøtter også streaming via lokale netværk og fjernadgang over internettet.

Sikkerhedsforskeren Zach Main opdagede sårbarhederne og rapporterede dem til Plex den 27. juli. Selvom de enkelte fejl har middel eller høj alvorlighedsgrad, vurderer Main den samlede angrebskæde som kritisk med en score på 9,8.

Kæden omfatter fire sikkerhedssvagheder:

• CVE-2026-96652: En SSRF-sårbarhed (server-side request forgery) i /player/timeline gør det muligt for ikke-autentificerede angribere at udløse POST-anmodninger til vilkårlige destinationer, herunder interne Plex-API’er.
• CVE-2026-96654: En URL-injektionssårbarhed i searchOne giver angribere mulighed for at kalde funktioner i andre plugins med parametre, som de selv kontrollerer.
• CVE-2026-96655: En autentificeret SSRF-sårbarhed i transkoderens endpoint tillader anmodninger til vilkårlige interne eller eksterne adresser.
• CVE-2026-96656: En sårbarhed, der muliggør vilkårlig filskrivning i transkoderindstillingerne, giver administratorer mulighed for at placere ondsindede delte biblioteker, som Plex efterfølgende indlæser, hvilket muliggør kodeudførelse.

Tilsammen skaber disse svagheder en vej fra uautoriserede anmodninger til administratoradgang og kodeudførelse.

Plex2Shell-angreb følger efter offentliggørelse af tekniske detaljer

Main offentliggjorde tekniske detaljer om sårbarhederne den 16. oktober. Rapporter om aktiv udnyttelse dukkede derefter op den 17. oktober, før forskeren offentliggjorde en proof-of-concept-exploit den 19. oktober.

De første rapporter beskrev angreb mod Plex-honeypots, hvor angriberne forsøgte at installere en kryptovalutaminer. Disse lokkesystemer hjælper forskere med at observere ondsindet aktivitet.

Observationerne fastslår dog ikke det samlede antal kompromitterede Plex-servere. CISAs advarsel bekræfter aktiv udnyttelse uden at angive et antal ofre i den tilgængelige redegørelse.

Sikkerhedsrettet Plex-version har været tilgængelig siden august

Plex2Shell påvirker versioner af Plex Media Server, der er ældre end 1.43.3.10861. Plex udgav denne version den 4. august efter forskerens private indberetning.

Administratorer bør derfor kontrollere deres installerede version og opgradere berørte servere til en sikkerhedsrettet version.

Fristen den 23. oktober gælder føderale myndigheder, der er omfattet af CISAs direktiv. Ikke desto mindre giver rapporterne om udnyttelse også andre Plex-administratorer en klar grund til at prioritere opdateringer.

Siemens Software Center er også udsat for aktiv udnyttelse

Ud over Plex-sårbarhederne tilføjede CISA en fejl i Siemens Software Center til sit katalog over kendte udnyttede sårbarheder, Known Exploited Vulnerabilities.

Sårbarheden, der er registreret som CVE-2026-110936, involverer et ukontrolleret søgestielement. Siemens advarede den 19. oktober om, at angribere udnyttede den i kampagner knyttet til Romulus, en platform til levering af flere payloads gennem ClickFix-angreb.

Forskerne har dog ikke fastslået Romulus’ driftsmodel. Mulige forklaringer omfatter en privat platform, en kriminel leveringstjeneste, en affiliate-struktur eller software, der deles mellem forskellige operatører.

Siemens har offentliggjort indikatorer på kompromittering og vejledning til at identificere berørte systemer. Virksomheden opfordrer også administratorer til at installere Siemens Software Center 4.0.9.8 eller nyere.

SiteGuard-sårbarhed for kommandoinjektion tilføjes til CISAs katalog

CISA tilføjede også CVE-2026-106931, en sårbarhed for kommandoinjektion i operativsystemet, som påvirker SiteGuard Server Edition.

Både leverandøren og Japans CERT havde advaret om aktiv udnyttelse, før sårbarheden blev tilføjet til kataloget.

Leverandøren anbefaler version 8.00 Update 5 eller nyere til SiteGuard Server Edition på Apache httpd, Nginx og IIS. For Apache httpd og Nginx på FreeBSD bør administratorer installere version 7.00 Update 6 eller nyere.

Disse tilføjelser understreger, at aktive angreb er rettet mod flere forskellige serverprodukter. Administratorer bør kontrollere hver berørt applikation og installere de relevante opdateringer fra leverandørerne.