Exploração de Falhas do Plex Põe Servidores em Risco

exploração em cadeia de quatro falhas no Plex Media Server vira execução remota sem autenticação e instala mineradores e backdoor

Uma cadeia de quatro falhas de segurança no Plex Media Server, batizada de Plex2Shell, começou a ser explorada ativamente por atacantes. A combinação permite execução remota de código sem autenticação e, segundo a The Hacker News, já foi usada para instalar mineradores de criptomoedas e um backdoor em sistemas Linux.

A vulnerabilidade em cadeia

O pesquisador que usa o apelido boredhackerblog identificou que os quatro defeitos, quando enfileirados na ordem correta, dão ao invasor execução remota sem autenticação em servidores do Plex Media Server que ainda não foram atualizados. Entre eles está a CVE-2026-96651, com pontuação CVSS de 7,1, reportada à empresa em 27 de julho de 2026 pelo pesquisador Zach Main.

Segundo a publicação, as correções chegaram na versão 1.43.3.10861 do aplicativo, liberada em 3 de agosto de 2026. Ou seja, quem mantém o programa na versão mais recente já deveria estar fora do alcance da cadeia, e o alerta reforça por que o serviço de mídia é alvo frequente quando fica exposto na internet sem atualização.

Ataques em ação: mineradores e backdoor

Os primeiros registros de exploração em produção apareceram um dia depois de os detalhes técnicos da cadeia ficarem públicos, em 16 de outubro de 2026. Nas invasões mapeadas, os atacantes carregam um minerador a partir de um servidor remoto identificado como 217.60.194[.]116, e as tentativas partiram de diferentes endereços IP já catalogados pelo pesquisador.

Além do minerador, o mesmo vetor entrega um artefato chamado myawesomeproxy, classificado pelo VirusTotal como um backdoor Linux discreto que também atua como proxy reverso. Ao ser executado, o programa exibe uma mensagem informando que, ao rodá-lo, o usuário concorda com o uso externo potencial do seu tráfego de internet. Em outras palavras, a máquina comprometida passa a reencaminhar tráfego para terceiros.

Também é implantado, em paralelo, um processo de mineração do XMRig identificado como mylovelyminer, cuja mineradora aponta para o endereço ota.proxystream[.]st. Um subdomínio relacionado, global.relay.proxystream[.]st, já havia sido sinalizado pela Bitsight em agosto de 2026 em associação à AISURU, uma botnet de DDoS e de proxyware. A sobreposição de domínios sugere que a infraestrutura usada nessa onda de ataques conversa com redes de ataque conhecidas.

Publicações no Reddit mostram que vários usuários do Plex tiveram instâncias comprometidas pelo mesmo payload mylovelyminer. Ainda não ficou confirmada a origem de cada uma dessas invasões, mas a coincidência de assinatura reforça a leitura de que a cadeia Plex2Shell está sendo escalada em massa.

Como se proteger

O cenário se desenrola um pouco mais de um mês depois de o próprio Plex ter recomendado aos usuários que atualizassem as instalações, após a liberação de uma atualização que corrigia várias falhas não especificadas. A The Hacker News chegou a contatar a empresa para comentar sobre a exploração ativa, sem resposta até o fechamento desta matéria. A orientação segue sendo a mesma: manter o Plex Media Server na versão mais recente e evitar expor servidores desatualizados diretamente na rede.

Fonte: The Hacker News