Plex a publié un avis de sécurité le 1er septembre 2026, incitant les utilisateurs à installer d'importantes mises à jour de sécurité pour Plex Media Server v1.43.2 et les versions antérieures. Les détails initiaux étaient limités ; un chercheur en sécurité de l'information exploitant un honeypot doté d'une version vulnérable de Plex a donc continué de surveiller d'éventuelles exploitations. Le 26 septembre, plusieurs CVE ont été publiées, mais aucune ne présentait un score CVSS égal ou supérieur à 9. Un article de blog associé a été publié le 16 octobre, décrivant comment l'auteur avait enchaîné plusieurs vulnérabilités pour obtenir une exécution de code à distance. Le chercheur a listé les CVE CVE-2026-96652, CVE-2026-96654, CVE-2026-96655 et CVE-2026-96656, et publié du code de preuve de concept ainsi que des captures de paquets pour les travaux de détection.
Le honeypot n'a d'abord enregistré pour l'essentiel que des balayages et des tentatives d'exploitation génériques. Le 17 octobre, le chercheur a observé une exploitation réelle. La première tentative provenait de 45.194.92.222, utilisant un agent utilisateur Python-urllib pour cibler les fonctions de recherche de la timeline et des agents de Plex. D'autres activités d'exploitation ont été retracées jusqu'à 91.92.40.202 et 176.65.139.228. Après que le chercheur a modifié la configuration du honeypot pour autoriser le trafic sortant, l'exploitation s'est poursuivie depuis 45.194.92.222, et un téléchargement de fichier malveillant a été observé depuis 217.60.194.116. Le fichier Docker téléchargé contenait un cryptomineur.
Le chercheur a indiqué que le cryptomineur lui-même ne constitue pas une menace majeure pour les victimes, mais a suggéré que les attaquants pourraient déployer des outils plus sophistiqués. Comme Plex est souvent hébergé sur des adresses IP résidentielles, le chercheur a averti que les attaquants pourraient utiliser ces systèmes comme proxys résidentiels pour atteindre les VPN d'entreprise et les comptes de messagerie.
Le chercheur a publié des indicateurs de compromission, notamment les adresses IP exploitantes, la source du téléchargement malveillant et les empreintes des fichiers, afin d'aider les défenseurs à détecter l'attaque. Les utilisateurs de Plex sont invités à appliquer la mise à jour de sécurité dès que possible.
Source: Hacker News · Résumé par HeadlinesBriefing