악의적인 행위자들이 'Plex Media Server'를 겨냥한 'Plex2Shell' 취약점 체인의 악용을 시작했습니다. 이는 10월 16일 기술 세부 정보와 개념 증명(PoC) 코드가 대중에게 공개된 지 불과 하루 만에 발생한 일입니다. 이 취약점 체인은 CVE-2026-96652, CVE-2026-96654, CVE-2026-96655, CVE-2026-96656 코드로 등록된 4개의 취약점으로 구성되어 있으며, 결합될 경우 유효한 자격 증명 없이도 Plex 서비스와 동일한 권한으로 노출된 서버에서 임의 코드를 실행할 수 있게 합니다.
이 사안의 발단은 7월 27일 Plex사에 전달된 보안 신고로 거슬러 올라갑니다. Plex사는 취약점의 존재를 확인하고 8월 4일 버그 바운티 포상금을 지급했습니다. 이후 9월 1일, Plex사는 필요한 업데이트를 배포했다고 발표하며 서버 소유자들에게 즉시 업그레이드할 것을 촉구했습니다.
허니팟을 통한 실시간 공격 포착
한 보안 연구원은 취약한 버전을 실행하는 인터넷 연결 허니팟(Honeypot) 시스템을 구축하여 실제 악용 행위를 포착했습니다. 10월 17일 이전까지 이 플랫폼은 단순한 정찰 스캔과 일반적인 공격 시도만 받고 있었으나, 공개된 코드를 사용하는 실제 악용 공격이 감지되기 시작했습니다.
이러한 공격으로 인해 가상 환경에는 두 가지 악성 프로그램이 설치되었습니다. 첫 번째는 'XMRig' 기반의 암호화폐 채굴 도구이며, 두 번째는 피해자의 네트워크 트래픽을 이용하는 프록시 소프트웨어인 'myawesomeproxy'입니다.
이 뉴스가 중요한 이유
이번 사건은 새로 공개된 취약점이 인터넷상에서 활발한 공격으로 전환되는 속도가 얼마나 빠른지를 여실히 보여주며, 업데이트되지 않은 서버들에 심각한 위험을 초래합니다. 또한 프록시 도구의 사용은 공격자들이 Plex 서버와 연동된 주거용 IP 주소를 활용해 기업 가상 사설망(VPN)이나 이메일 계정에 접근하려 한다는 것을 시사합니다.
이러한 발전은 이러한 치명적인 취약점과 관련된 위험을 피하기 위해 최신 소프트웨어 버전을 가급적 빨리 설치해야 한다고 강조한 Plex사의 기존 보안 권고를 반드시 준수해야 할 필요성을 재확인시켜 줍니다.