Plex ने 1 सितंबर 2026 को एक सुरक्षा घोषणा जारी की, जिसमें उपयोगकर्ताओं से Plex Media Server v1.43.2 और उससे पहले के संस्करणों के लिए महत्वपूर्ण सुरक्षा अपडेट इंस्टॉल करने का आग्रह किया गया। शुरुआत में विवरण सीमित थे, इसलिए एक इंफोसेक शोधकर्ता, जो एक कमजोर Plex संस्करण वाला हनीपॉट चला रहे थे, शोषण के लिए लगातार निगरानी करते रहे। 26 सितंबर को कई CVE प्रकाशित हुए, हालांकि उनमें से किसी का CVSS स्कोर 9 या उससे अधिक नहीं था। 16 अक्टूबर को एक संबंधित ब्लॉग पोस्ट जारी हुई, जिसमें बताया गया कि लेखक ने कई कमजोरियों को जोड़कर रिमोट कोड एक्जीक्यूशन कैसे हासिल किया। शोधकर्ता ने CVE को CVE-2026-96652, CVE-2026-96654, CVE-2026-96655 और CVE-2026-96656 के रूप में सूचीबद्ध किया, और पहचान कार्य के लिए प्रूफ-ऑफ-कॉन्सेप्ट कोड और पैकेट कैप्चर प्रकाशित किए।
हनीपॉट ने शुरू में ज्यादातर स्कैनिंग और सामान्य शोषण प्रयास दर्ज किए। 17 अक्टूबर को शोधकर्ता ने वास्तविक दुनिया में शोषण देखा। पहला प्रयास 45.194.92.222 से आया, जिसमें Plex के टाइमलाइन और एजेंट सर्च फंक्शनैलिटी को निशाना बनाने के लिए Python-urllib यूज़र एजेंट का इस्तेमाल किया गया था। अन्य शोषण गतिविधि 91.92.40.202 और 176.65.139.228 तक ट्रेस की गई। शोधकर्ता द्वारा हनीपॉट कॉन्फ़िगरेशन बदलकर आउटबाउंड ट्रैफ़िक की अनुमति देने के बाद, 45.194.92.222 से शोषण जारी रहा, और 217.60.194.116 से एक दुर्भावनापूर्ण फ़ाइल डाउनलोड देखी गई। डाउनलोड की गई Docker फ़ाइल में एक क्रिप्टोमाइनर था।
शोधकर्ता ने नोट किया कि क्रिप्टोमाइनर स्वयं पीड़ितों के लिए बड़ा खतरा नहीं है, लेकिन सुझाव दिया कि हमलावर अधिक परिष्कृत उपकरण तैनात कर सकते हैं। चूंकि Plex अक्सर आवासीय IP पतों पर होस्ट किया जाता है, शोधकर्ता ने चेतावनी दी कि हमलावर ऐसे सिस्टम को रेज़िडेंशियल प्रॉक्सी के रूप में इस्तेमाल करके कॉर्पोरेट VPN और ईमेल खातों तक पहुंच सकते हैं।
शोधकर्ता ने समझौते के संकेतक (IoC) प्रकाशित किए, जिनमें शोषण करने वाले IP पते, दुर्भावनापूर्ण डाउनलोड स्रोत और फ़ाइल हैश शामिल हैं, ताकि रक्षक इस हमले का पता लगा सकें। Plex उपयोगकर्ताओं को सलाह दी जाती है कि वे जल्द से जल्द सुरक्षा अपडेट लागू करें।
स्रोत: Hacker News · HeadlinesBriefing द्वारा सारांशित