Schadakteure haben damit begonnen, eine Kette von Sicherheitslücken namens „Plex2Shell“ auszunutzen, die auf „Plex Media Server“-Mediaserver abzielt, und das nur einen Tag nach der Veröffentlichung der technischen Details und des Proof-of-Concept-Exploit-Codes für die Öffentlichkeit am 16. Oktober. Die Kette besteht aus vier Schwachstellen, die unter den Kennungen CVE-2026-96652, CVE-2026-96654, CVE-2026-96655 und CVE-2026-96656 registriert sind. Diese ermöglichen in Kombination die Ausführung von arbitrary Code (beliebigem Programmcode) auf exponierten Servern ohne gültige Zugangsdaten und mit den Berechtigungen des Plex-Dienstes.
Der Ursprung des Falles geht auf eine Meldung an das genannte Unternehmen am 27. Juli zurück, woraufhin das Unternehmen das Vorhandensein der Schwachstellen bestätigte und am 4. August eine Bug-Bounty-Prämie vergab. Später, am 1. September, gab Plex bekannt, dass die erforderlichen Updates veröffentlicht wurden, und drängte Serverbesitzer zu einem sofortigen Upgrade.
Erkennung von Live-Angriffen über eine Honeypot-Plattform
Ein Sicherheitsforscher konnte tatsächliche Ausnutzungsvorgänge beobachten, indem er ein mit dem Internet verbundenes Honeypot-System einrichtete, auf dem eine anfällige Version lief. Vor dem 17. Oktober empfing die Plattform lediglich Aufklärungsscans und allgemeine Angriffsversuche, bevor reale Ausnutzungsangriffe verzeichnet wurden, die den öffentlich veröffentlichten Code verwenden.
Diese Angriffe führten zur Installation von zwei Schadprogrammen in der Testumgebung: Das erste ist ein auf dem „XMRig“-System basierendes Kryptowährungs-Mining-Tool, und das zweite ist ein Programm namens „myawesomeproxy“, das als Proxy-Software fungiert, welche den Netzwerkverkehr der Opfer nutzt.
Warum diese Nachricht wichtig ist
Dieser Vorfall verdeutlicht die rekordverdächtige Geschwindigkeit, mit der frisch angekündigte Schwachstellen in aktive Angriffe im Internet umgewandelt werden, was eine akute Gefahr für nicht aktualisierte Server darstellt. Darüber hinaus deutet die Verwendung von Proxy-Tools auf den Wunsch der Angreifer hin, die mit Plex-Servern verbundenen IP-Adressen von Privatanschlüssen zu nutzen, um auf virtuelle Unternehmensnetzwerke und E-Mail-Konten zuzugreifen.
Diese Entwicklungen unterstreichen die Notwendigkeit, sich an die früheren Sicherheitsempfehlungen von Plex zu halten, in denen betont wurde, wie wichtig es ist, die neuesten Softwareversionen sofort nach ihrer Verfügbarkeit zu installieren, um den mit diesen kritischen Schwachstellen verbundenen Risiken zu entgehen.