Plex envió un anuncio de seguridad el 1 de septiembre de 2026, instando a los usuarios a instalar importantes actualizaciones de seguridad para Plex Media Server v1.43.2 y versiones anteriores. Los detalles iniciales eran limitados, por lo que un investigador de seguridad informática que ejecutaba un honeypot con una versión vulnerable de Plex siguió vigilando la posible explotación. El 26 de septiembre se publicaron varios CVE, aunque ninguno tenía una puntuación CVSS de 9 o superior. El 16 de octubre se publicó una entrada de blog vinculada que describía cómo el autor encadenó varias vulnerabilidades para lograr la ejecución remota de código. El investigador enumeró los CVE como CVE-2026-96652, CVE-2026-96654, CVE-2026-96655 y CVE-2026-96656, y publicó código de prueba de concepto y capturas de paquetes para tareas de detección.
El honeypot registró inicialmente sobre todo escaneos e intentos de explotación genéricos. El 17 de octubre, el investigador observó explotación en entornos reales. El primer intento procedió de 45.194.92.222, usando un agente de usuario Python-urllib para atacar la funcionalidad de búsqueda de timeline y agent de Plex. Otra actividad de explotación se rastreó hasta 91.92.40.202 y 176.65.139.228. Después de que el investigador cambiara la configuración del honeypot para permitir el tráfico saliente, la explotación continuó desde 45.194.92.222, y se observó la descarga de un archivo malicioso desde 217.60.194.116. El archivo Docker descargado contenía un minero de criptomonedas.
El investigador señaló que el minero en sí no supone una amenaza importante para las víctimas, pero sugirió que los atacantes podrían desplegar herramientas más sofisticadas. Dado que Plex suele alojarse en direcciones IP residenciales, el investigador advirtió de que los atacantes podrían usar estos sistemas como proxies residenciales para acceder a VPN corporativas y cuentas de correo electrónico.
El investigador publicó indicadores de compromiso, incluidas las direcciones IP que explotaron la vulnerabilidad, el origen de la descarga maliciosa y los hashes de los archivos, para ayudar a los defensores a detectar el ataque. Se recomienda a los usuarios de Plex aplicar la actualización de seguridad lo antes posible.
Fuente: Hacker News · Resumido por HeadlinesBriefing