悪意ある攻撃者らは、10月16日に技術的な詳細と概念実証（PoC）コードが一般公開されてからわずか1日後、「Plex Media Server」を標的とした「Plex2Shell」として知られる一連の脆弱性の悪用を開始した。この脆弱性チェーンは、CVE-2026-96652、CVE-2026-96654、CVE-2026-96655、CVE-2026-96656として登録された4つの脆弱性で構成されており、これらを組み合わせることで、正当な資格情報を必要とせず、Plexサービスと同じ権限で公開サーバー上で任意のコードを実行することが可能になる。
この問題の発端は、7月27日に同社へ送信された報告であり、同社は8月4日に脆弱性の存在を確認してバグ報奨金を授与した。その後、9月1日にPlexは必要なアップデートをリリースしたことを発表し、サーバー所有者に対して即時のアップグレードを強く促していた。
ハニーポットを通じた実際の攻撃の観測
あるセキュリティ研究者が、脆弱性のあるバージョンを実行するインターネット接続されたハニーポットシステムを設定し、実際の悪用活動の観測に成功した。10月17日以前、このプラットフォームは一般的な偵察スキャンと攻撃の試みのみを受信していたが、その後、公開されたコードを使用した実際の悪用攻撃が観測されるようになった。
これらの攻撃により、仮想環境には2つのマルウェアがインストールされた。1つ目は「XMRig」ベースの暗号資産マイニングツールであり、2つ目は被害者のネットワークトラフィックを利用するプロキシソフトウェアとして機能する「myawesomeproxy」である。
このニュースが重要な理由
このインシデントは、新しく公表された脆弱性がインターネット上でアクティブな攻撃へと移行する驚異的な速さを示しており、アップデートされていないサーバーにとって深刻な脅威となっている。また、プロキシツールの使用は、攻撃者がPlexサーバーに関連付けられた住宅用のIPアドレスを利用して、企業仮想ネットワークや電子メールアカウントにアクセスすることを望んでいることを示している。
こうした展開は、これらの重大な脆弱性に関連するリスクを回避するため、最新のソフトウェアバージョンが利用可能になり次第直ちにインストールすることの重要性を強調した、Plexのこれまでのセキュリティ推奨事項を遵守する必要性を裏付けている。