Plex2Shell-attacker utnyttjar fyra sårbarheter i Plex Media Server

Plex2Shell-attacker riktar sig mot Plex Media Server genom en kedja av fyra sårbarheter, enligt den amerikanska cybersäkerhetsmyndigheten CISA. Tillsammans gör bristerna det möjligt för angripare att komma över serverägarens administratörstoken och köra kod med förhöjda behörigheter.

CISA har instruerat federala myndigheter att säkerhetsuppdatera berörda system eller införa skyddsåtgärder senast den 23 oktober. Samtidigt beskriver rapporter om exploatering hur angripare installerar skadlig programvara för kryptovalutautvinning.

Fyra sårbarheter bildar en kritisk attackkedja

Plex Media Server låter användare organisera filmer, tv-serier, musik och fotografier. Tjänsten stöder också strömning via lokala nätverk och på distans över internet.

Säkerhetsforskaren Zach Main upptäckte sårbarheterna och rapporterade dem till Plex den 27 juli. Även om de enskilda bristerna har medelhöga eller höga allvarlighetsgrader bedömer Main den kombinerade attackkedjan som kritisk, med poängen 9,8.

Kedjan omfattar fyra säkerhetsbrister:

• CVE-2026-96652: En SSRF-sårbarhet (server-side request forgery) i /player/timeline gör det möjligt för oautentiserade angripare att utlösa POST-förfrågningar till valfria destinationer, inklusive interna Plex-API:er.
• CVE-2026-96654: En URL-injektionssårbarhet i searchOne gör det möjligt för angripare att anropa funktioner i andra insticksprogram med parametrar som de själva kontrollerar.
• CVE-2026-96655: En autentiserad SSRF-sårbarhet i transkoderns slutpunkt tillåter förfrågningar till valfria interna eller externa adresser.
• CVE-2026-96656: En sårbarhet som möjliggör godtycklig filskrivning i transkoderns inställningar låter administratörer placera skadliga delade bibliotek som Plex därefter laddar, vilket möjliggör kodexekvering.

Tillsammans skapar dessa svagheter en väg från obehöriga förfrågningar till administratörsåtkomst och kodexekvering.

Plex2Shell-attacker följer efter offentlig teknisk publicering

Main publicerade tekniska detaljer om sårbarheterna den 16 oktober. Rapporter om aktiv exploatering dök sedan upp den 17 oktober, innan forskaren publicerade en proof-of-concept-exploit den 19 oktober.

De första rapporterna beskrev attacker mot Plex-honeypots där angriparna försökte installera en kryptovalutaminerare. Dessa lockbetessystem hjälper forskare att observera skadlig aktivitet.

Observationerna fastställer dock inte det totala antalet komprometterade Plex-servrar. CISAs varning bekräftar aktiv exploatering utan att ange något antal drabbade i den tillgängliga redogörelsen.

Säkerhetskorrigerad Plex-version har funnits sedan augusti

Plex2Shell påverkar versioner av Plex Media Server som är äldre än 1.43.3.10861. Plex släppte denna version den 4 augusti efter forskarens privata rapportering.

Administratörer bör därför kontrollera vilken version de har installerad och uppgradera berörda servrar till en säkerhetskorrigerad version.

Tidsfristen den 23 oktober gäller federala myndigheter som omfattas av CISAs direktiv. Rapporterna om exploatering ger dock även andra Plex-administratörer tydliga skäl att prioritera uppdateringar.

Siemens Software Center utsätts också för aktiv exploatering

Utöver Plex-sårbarheterna lade CISA till en brist i Siemens Software Center i sin katalog över kända exploaterade sårbarheter, Known Exploited Vulnerabilities.

Sårbarheten, som identifieras som CVE-2026-110936, handlar om en okontrollerad sökvägskomponent. Siemens varnade den 19 oktober för att angripare utnyttjade bristen i kampanjer kopplade till Romulus, en plattform för att leverera flera skadliga nyttolaster genom ClickFix-attacker.

Forskarna har dock inte fastställt hur Romulus fungerar organisatoriskt. Möjliga förklaringar omfattar en privat plattform, en kriminell distributionstjänst, ett affiliate-ramverk eller programvara som delas mellan olika operatörer.

Siemens har publicerat indikatorer på kompromettering och vägledning för att identifiera berörda system. Företaget uppmanar också administratörer att installera Siemens Software Center 4.0.9.8 eller senare.

SiteGuard-sårbarhet för kommandoinjektion läggs till i CISAs katalog

CISA lade också till CVE-2026-106931, en sårbarhet för kommandoinjektion i operativsystemet som påverkar SiteGuard Server Edition.

Både leverantören och Japans CERT hade uppmärksammat aktiv exploatering innan sårbarheten lades till i katalogen.

Leverantören rekommenderar version 8.00 Update 5 eller senare för SiteGuard Server Edition på Apache httpd, Nginx och IIS. För Apache httpd och Nginx på FreeBSD bör administratörer installera version 7.00 Update 6 eller senare.

Dessa tillägg visar att aktiva attacker riktas mot flera olika serverprodukter. Administratörer bör kontrollera varje berörd applikation och installera relevanta uppdateringar från leverantörerna.