A Plex enviou um comunicado de segurança em 1º de setembro de 2026, incentivando os usuários a instalar atualizações de segurança importantes para o Plex Media Server v1.43.2 e versões anteriores. Os detalhes iniciais eram limitados, então um pesquisador de segurança da informação que executava um honeypot com uma versão vulnerável do Plex continuou monitorando sinais de exploração. Em 26 de setembro, várias CVEs foram publicadas, mas nenhuma tinha pontuação CVSS igual ou superior a 9. Um post de blog relacionado foi publicado em 16 de outubro, descrevendo como o autor encadeou várias vulnerabilidades para alcançar execução remota de código. O pesquisador listou as CVEs como CVE-2026-96652, CVE-2026-96654, CVE-2026-96655 e CVE-2026-96656, e publicou código de prova de conceito e capturas de pacotes para trabalhos de detecção.
O honeypot inicialmente registrou principalmente varreduras e tentativas genéricas de exploração. Em 17 de outubro, o pesquisador observou exploração em ambiente real. A primeira tentativa veio de 45.194.92.222, usando um user agent Python-urllib para atingir as funcionalidades de busca de timeline e de agentes do Plex. Outras atividades de exploração foram rastreadas até 91.92.40.202 e 176.65.139.228. Depois que o pesquisador alterou a configuração do honeypot para permitir tráfego de saída, a exploração continuou a partir de 45.194.92.222, e um download de arquivo malicioso foi observado a partir de 217.60.194.116. O arquivo Docker baixado continha um minerador de criptomoedas.
O pesquisador destacou que o minerador em si não representa uma grande ameaça para as vítimas, mas sugeriu que os atacantes poderiam implantar ferramentas mais sofisticadas. Como o Plex costuma ser hospedado em endereços IP residenciais, o pesquisador alertou que os atacantes poderiam usar esses sistemas como proxies residenciais para acessar VPNs corporativas e contas de e-mail.
O pesquisador publicou indicadores de comprometimento, incluindo os endereços IP que exploraram o problema, a origem do download malicioso e os hashes dos arquivos, para ajudar os defensores a detectar o ataque. Os usuários do Plex são aconselhados a aplicar a atualização de segurança o mais rápido possível.
Fonte: Hacker News · Resumido por HeadlinesBriefing