Plex mengirimkan pengumuman keamanan pada 1 September 2026, mendesak pengguna untuk memasang pembaruan keamanan penting untuk Plex Media Server v1.43.2 dan versi sebelumnya. Detail awalnya terbatas, sehingga seorang peneliti infosec yang menjalankan honeypot dengan versi Plex yang rentan terus memantau eksploitasi. Pada 26 September, beberapa CVE dipublikasikan, meski tidak ada yang memiliki skor CVSS 9 atau lebih tinggi. Sebuah postingan blog terkait dirilis pada 16 Oktober, yang menjelaskan bagaimana penulisnya merangkai beberapa kerentanan untuk mencapai eksekusi kode jarak jauh. Peneliti tersebut mencantumkan CVE sebagai CVE-2026-96652, CVE-2026-96654, CVE-2026-96655, dan CVE-2026-96656, serta mempublikasikan kode proof-of-concept dan tangkapan paket untuk keperluan deteksi.
Honeypot pada awalnya sebagian besar hanya mencatat pemindaian dan upaya eksploitasi umum. Pada 17 Oktober, peneliti mengamati eksploitasi di dunia nyata. Upaya pertama berasal dari 45.194.92.222, menggunakan user agent Python-urllib untuk menargetkan fungsi pencarian timeline dan agent Plex. Aktivitas eksploitasi lainnya dilacak ke 91.92.40.202 dan 176.65.139.228. Setelah peneliti mengubah konfigurasi honeypot agar mengizinkan lalu lintas keluar, eksploitasi terus berlanjut dari 45.194.92.222, dan unduhan file berbahaya dari 217.60.194.116 teramati. File Docker yang diunduh berisi cryptominer.
Peneliti mencatat bahwa cryptominer itu sendiri bukan ancaman besar bagi korban, tetapi menyarankan bahwa penyerang dapat memasang alat yang lebih canggih. Karena Plex sering di-host pada alamat IP residensial, peneliti memperingatkan bahwa penyerang dapat menggunakan sistem tersebut sebagai residential proxy untuk mengakses VPN perusahaan dan akun email.
Peneliti mempublikasikan indikator kompromi, termasuk alamat IP yang melakukan eksploitasi, sumber unduhan berbahaya, dan hash file, untuk membantu para pembela mendeteksi serangan tersebut. Pengguna Plex disarankan untuk menerapkan pembaruan keamanan sesegera mungkin.
Sumber: Hacker News · Diringkas oleh HeadlinesBriefing