أصدرت Plex إعلانا أمنيا في 1 سبتمبر 2026، تحث فيه المستخدمين على تثبيت تحديثات أمنية مهمة لخادم Plex Media Server الإصدار v1.43.2 والإصدارات السابقة. كانت التفاصيل الأولية محدودة، لذا ظل باحث في أمن المعلومات يشغّل مصيدة شبكية (honeypot) بإصدار Plex ضعيف يراقب أي استغلال. وفي 26 سبتمبر نُشرت عدة ثغرات CVE، لكن لم تحصل أي منها على درجة CVSS تبلغ 9 أو أكثر. وفي 16 أكتوبر صدرت تدوينة مرتبطة تصف كيف ربط كاتبها عدة ثغرات معا لتحقيق تنفيذ الشيفرة عن بعد. وأدرج الباحث الثغرات بالأرقام CVE-2026-96652 وCVE-2026-96654 وCVE-2026-96655 وCVE-2026-96656، ونشر شيفرة إثبات المفهوم والتقاطات الحزم لدعم أعمال الكشف.
سجلت المصيدة في البداية في معظمها عمليات مسح ومحاولات استغلال عامة. وفي 17 أكتوبر رصد الباحث استغلالا فعليا في البيئات الحية. جاءت أول محاولة من العنوان 45.194.92.222 باستخدام وكيل المستخدم Python-urllib، مستهدفة وظيفة البحث في الخط الزمني والوكلاء في Plex. وتم تتبع نشاط استغلال آخر إلى 91.92.40.202 و176.65.139.228. وبعد أن غيّر الباحث إعدادات المصيدة للسماح بحركة المرور الصادرة، استمر الاستغلال من 45.194.92.222، ولوحظ تنزيل ملف خبيث من 217.60.194.116. وكان ملف Docker الذي جرى تنزيله يحتوي على برنامج تعدين عملات مشفرة.
أشار الباحث إلى أن برنامج التعدين نفسه ليس تهديدا كبيرا للضحايا، لكنه اقترح أن يتمكن المهاجمون من نشر أدوات أكثر تطورا. ولأن Plex يُستضاف غالبا على عناوين IP منزلية، حذر الباحث من أن المهاجمين قد يستخدمون هذه الأنظمة كوكلاء منزليين للوصول إلى شبكات VPN للشركات وحسابات البريد الإلكتروني.
ونشر الباحث مؤشرات الاختراق، بما في ذلك عناوين IP المستغلة ومصدر التنزيل الخبيث وقيم التجزئة للملفات، لمساعدة المدافعين على رصد الهجوم. ويُنصح مستخدمو Plex بتطبيق تحديث الأمان في أقرب وقت ممكن.
المصدر: Hacker News · لخّصه HeadlinesBriefing