Plex выпустила объявление о безопасности 1 сентября 2026 года, призывая пользователей установить важные обновления безопасности для Plex Media Server v1.43.2 и более ранних версий. Изначально подробностей было мало, поэтому исследователь информационной безопасности, запустивший honeypot с уязвимой версией Plex, продолжал следить за признаками эксплуатации. 26 сентября было опубликовано несколько CVE, однако ни одна из них не имела оценки CVSS 9 или выше. 16 октября появилась связанная статья в блоге, в которой описывалось, как автор объединил несколько уязвимостей для достижения удалённого выполнения кода. Исследователь перечислил CVE как CVE-2026-96652, CVE-2026-96654, CVE-2026-96655 и CVE-2026-96656 и опубликовал код доказательства концепции и захваты пакетов для задач обнаружения.
В honeypot изначально в основном фиксировалось сканирование и общие попытки эксплуатации. 17 октября исследователь зафиксировал эксплуатацию в реальных условиях. Первая попытка поступила с адреса 45.194.92.222 и использовала user agent Python-urllib для атаки на функции поиска по таймлайну и агентам Plex. Другая эксплуатационная активность была прослежена до 91.92.40.202 и 176.65.139.228. После того как исследователь изменил конфигурацию honeypot, разрешив исходящий трафик, эксплуатация продолжилась с 45.194.92.222, а также было зафиксировано скачивание вредоносного файла с 217.60.194.116. Загруженный Docker-файл содержал криптомайнер.
Исследователь отметил, что сам криптомайнер не представляет серьёзной угрозы для жертв, однако предположил, что злоумышленники могут развернуть более сложные инструменты. Поскольку Plex часто размещают на домашних IP-адресах, исследователь предупредил, что злоумышленники могут использовать такие системы как резидентные прокси для доступа к корпоративным VPN и почтовым аккаунтам.
Исследователь опубликовал индикаторы компрометации, включая IP-адреса, с которых велась эксплуатация, источник вредоносной загрузки и хеш-суммы файлов, чтобы помочь защитникам обнаружить атаку. Пользователям Plex рекомендуется установить обновление безопасности как можно скорее.
Источник: Hacker News · Сводку подготовил HeadlinesBriefing