Des acteurs malveillants ont commencé à exploiter une chaîne de vulnérabilités de sécurité connue sous le nom de 'Plex2Shell' et ciblant les serveurs de médias 'Plex Media Server', un jour seulement après la publication des détails techniques et du code d'exploitation de preuve de concept au public le 16 octobre. Cette chaîne se compose de quatre vulnérabilités enregistrées sous les codes CVE-2026-96652, CVE-2026-96654, CVE-2026-96655 et CVE-2026-96656, qui permettent, lorsqu'elles sont combinées, d'exécuter du code arbitraire sur les serveurs exposés sans nécessiter d'identifiants valides et avec les privilèges du service Plex.
L'origine de l'affaire remonte à un signalement envoyé à l'entreprise concernée le 27 juillet, date à laquelle l'entreprise a confirmé l'existence des vulnérabilités et a accordé une prime de découverte de bugs le 4 août. Plus tard, le 1er septembre, Plex a annoncé avoir publié les correctifs nécessaires et a exhorté les propriétaires de serveurs à effectuer une mise à niveau immédiate.
Observation d'attaques en direct via une plateforme trompeuse
Un chercheur en sécurité a pu observer des opérations d'exploitation réelles en mettant en place un système de piège (Honeypot) connecté à Internet exécutant une version vulnérable. Avant le 17 octobre, la plateforme ne recevait que des analyses de reconnaissance et des tentatives d'attaque générales, avant d'observer de véritables attaques d'exploitation utilisant les codes publiés publiquement.
Ces attaques ont entraîné l'installation de deux programmes malveillants sur l'environnement simulé : le premier est un outil de minage de cryptomonnaies basé sur 'XMRig', et le second est un programme appelé 'myawesomeproxy' qui fonctionne comme un logiciel proxy utilisant le trafic réseau des victimes.
Pourquoi cette nouvelle est importante ?
Cet incident illustre la vitesse record à laquelle les vulnérabilités récemment divulguées se transforment en attaques actives sur Internet, constituant une menace imminente pour les serveurs non mis à jour. En outre, l'utilisation d'outils proxy indique le désir des attaquants de tirer parti des adresses IP résidentielles associées aux serveurs Plex pour accéder aux réseaux privés virtuels (VPN) d'entreprise et aux comptes de messagerie.
Ces développements soulignent la nécessité de respecter les recommandations de sécurité précédentes de Plex, qui insistaient sur l'importance d'installer les dernières versions logicielles dès leur disponibilité afin d'éviter les risques associés à ces vulnérabilités critiques.