Actores maliciosos comenzaron a explotar una cadena de vulnerabilidades de seguridad conocida como 'Plex2Shell' que afecta a los servidores de medios 'Plex Media Server', apenas un día después de que los detalles técnicos y el código de exploit de prueba de concepto se publicaran para el público el 16 de octubre. La cadena consta de cuatro vulnerabilidades registradas bajo los códigos CVE-2026-96652, CVE-2026-96654, CVE-2026-96655 y CVE-2026-96656, las cuales, al combinarse, permiten la ejecución arbitraria de código en servidores expuestos sin necesidad de credenciales válidas y con los mismos privilegios del servicio Plex.
El origen del problema se remonta a un reporte enviado a la compañía mencionada el 27 de julio, fecha en la que la empresa confirmó la existencia de las fallas y otorgó una recompensa por la detección de vulnerabilidades el 4 de agosto. Posteriormente, el 1 de septiembre, Plex anunció que había lanzado las actualizaciones necesarias e instó a los propietarios de los servidores a actualizar de inmediato.
Detección de ataques reales mediante una plataforma señuelo
Un investigador de seguridad logró rastrear operaciones de explotación reales configurando un sistema señuelo (Honeypot) conectado a internet que ejecutaba una versión vulnerable. Antes del 17 de octubre, la plataforma solo recibía escaneos de reconocimiento e intentos de ataque generales, antes de registrar ataques de explotación reales que utilizaban los códigos publicados públicamente.
Estos ataques resultaron en la instalación de dos programas maliciosos en el entorno señuelo: el primero es una herramienta de criptominería basada en el sistema 'XMRig', y el segundo es un programa llamado 'myawesomeproxy' que actúa como un software proxy para utilizar el tráfico de red de las víctimas.
¿Por qué importa esta noticia?
Este incidente ilustra la velocidad récord con la que las vulnerabilidades recién anunciadas se convierten en ataques activos en internet, lo que representa un grave peligro para los servidores no actualizados. Asimismo, el uso de herramientas de proxy indica el deseo de los atacantes de aprovechar las direcciones IP residenciales asociadas con los servidores de Plex para acceder a redes corporativas virtuales y cuentas de correo electrónico.
Estos acontecimientos reafirman la necesidad de cumplir con las recomendaciones de seguridad anteriores de Plex, las cuales recalcaron la importancia de instalar las últimas versiones de software tan pronto como estén disponibles para evitar los riesgos asociados con estas fallas críticas.