Plex hat am 1. September 2026 eine Sicherheitsmitteilung verschickt und die Nutzer aufgefordert, wichtige Sicherheitsupdates für Plex Media Server v1.43.2 und frühere Versionen zu installieren. Die anfänglichen Details waren begrenzt, weshalb ein Informationssicherheitsforscher, der einen Honeypot mit einer verwundbaren Plex-Version betrieb, weiter nach Ausnutzungsversuchen Ausschau hielt. Am 26. September wurden mehrere CVEs veröffentlicht, von denen jedoch keines einen CVSS-Wert von 9 oder höher aufwies. Am 16. Oktober erschien ein verlinkter Blogbeitrag, der beschrieb, wie der Autor mehrere Schwachstellen verkettete, um Remote Code Execution zu erreichen. Der Forscher führte die CVEs als CVE-2026-96652, CVE-2026-96654, CVE-2026-96655 und CVE-2026-96656 auf und veröffentlichte Proof-of-Concept-Code sowie Paketmitschnitte für Erkennungsarbeiten.
Der Honeypot verzeichnete zunächst hauptsächlich Scans und allgemeine Ausnutzungsversuche. Am 17. Oktober beobachtete der Forscher eine Ausnutzung in freier Wildbahn. Der erste Versuch kam von 45.194.92.222 und nutzte einen Python-urllib-User-Agent, um die Timeline- und Agent-Suchfunktion von Plex anzugreifen. Weitere Ausnutzungsaktivitäten ließen sich auf 91.92.40.202 und 176.65.139.228 zurückverfolgen. Nachdem der Forscher die Honeypot-Konfiguration so geändert hatte, dass ausgehender Datenverkehr erlaubt war, setzte sich die Ausnutzung von 45.194.92.222 fort, und ein schädlicher Dateidownload von 217.60.194.116 wurde beobachtet. Die heruntergeladene Docker-Datei enthielt einen Krypto-Miner.
Der Forscher merkte an, dass der Krypto-Miner selbst keine große Bedrohung für Opfer darstellt, legte jedoch nahe, dass Angreifer anspruchsvollere Werkzeuge einsetzen könnten. Da Plex häufig auf Heim-IP-Adressen gehostet wird, warnte der Forscher, dass Angreifer solche Systeme als Residential Proxies nutzen könnten, um auf Firmen-VPNs und E-Mail-Konten zuzugreifen.
Der Forscher veröffentlichte Indicators of Compromise, darunter die ausnutzenden IP-Adressen, die Quelle des schädlichen Downloads und Datei-Hashes, damit Verteidiger den Angriff erkennen können. Plex-Nutzer werden dringend aufgefordert, das Sicherheitsupdate so bald wie möglich einzuspielen.
Quelle: Hacker News · Zusammengefasst von HeadlinesBriefing