Plexは2026年9月1日にセキュリティ告知を発表し、Plex Media Server v1.43.2以前のバージョンについて重要なセキュリティ更新をインストールするようユーザーに呼びかけました。当初公開された詳細は限られていたため、脆弱なPlexバージョンを使ったハニーポットを運用する情報セキュリティ研究者が、悪用の兆候を監視し続けていました。9月26日にはいくつかのCVEが公開されましたが、いずれもCVSSスコアは9以上ではありませんでした。10月16日には関連するブログ記事が公開され、著者が複数の脆弱性を連鎖させてリモートコード実行を達成する方法が説明されました。研究者はCVEをCVE-2026-96652、CVE-2026-96654、CVE-2026-96655、CVE-2026-96656として挙げ、検知作業のためにproof-of-conceptコードとパケットキャプチャを公開しました。
ハニーポットが当初記録したのは主にスキャンと一般的な悪用の試みでした。10月17日、研究者は実環境での悪用を確認しました。最初の試みは45.194.92.222から行われ、Python-urllibのユーザーエージェントを使って、Plexのタイムラインおよびエージェント検索機能を狙っていました。その他の悪用活動は91.92.40.202と176.65.139.228まで追跡されました。研究者がハニーポットの設定を変更して送信トラフィックを許可した後も、45.194.92.222からの悪用が続き、217.60.194.116からの悪意あるファイルのダウンロードも観測されました。ダウンロードされたDockerファイルには暗号資産マイナーが含まれていました。
研究者は、暗号資産マイナー自体は被害者にとって大きな脅威ではないとしながらも、攻撃者はより高度なツールを配置する可能性があると指摘しました。Plexは住宅用IPアドレス上でホストされることが多いため、攻撃者がこうしたシステムを住宅用プロキシとして利用し、企業のVPNやメールアカウントにアクセスする恐れがあると警告しました。
研究者は、防御側が攻撃を検知できるよう、悪用に使われたIPアドレス、悪意あるダウンロード元、ファイルハッシュを含む侵害の痕跡（IoC）を公開しました。Plexユーザーには、できるだけ早くセキュリティ更新を適用するよう勧告されています。
出典: Hacker News · 要約：HeadlinesBriefing