Atores mal-intencionados começaram a explorar uma cadeia de vulnerabilidades de segurança conhecida como 'Plex2Shell', que visa servidores de multimédia 'Plex Media Server', apenas um dia após a publicação dos detalhes técnicos e do código de exploit de demonstração ao público a 16 de outubro. A cadeia é composta por quatro vulnerabilidades registadas sob os códigos CVE-2026-96652, CVE-2026-96654, CVE-2026-96655 e CVE-2026-96656, que, quando combinadas, permitem a execução arbitrária de código em servidores expostos sem necessidade de credenciais válidas e com os mesmos privilégios do serviço Plex.
A origem do problema remonta a um relatório enviado à referida empresa a 27 de julho, tendo a empresa confirmado a existência das vulnerabilidades e atribuído uma recompensa por descoberta de falhas a 4 de agosto. Posteriormente, a 1 de outubro, a Plex anunciou que tinha lançado as atualizações necessárias e instou os proprietários de servidores a efetuarem a atualização imediata.
Detetção de ataques ativos através de uma plataforma de engodo
Um investigador de segurança conseguiu monitorizar operações de exploração reais ao configurar um sistema de engodo (Honeypot) ligado à internet a executar uma versão vulnerável. Antes de 17 de outubro, a plataforma recebia apenas exames de reconhecimento e tentativas gerais de ataques, antes de detetar ataques de exploração reais que utilizavam os códigos publicados publicamente.
Estes ataques resultaram na instalação de dois programas maliciosos no ambiente de engodo: o primeiro é uma ferramenta de mineração de criptomoedas baseada no sistema 'XMRig', e o segundo é um programa chamado 'myawesomeproxy' que funciona como um software de proxy que utiliza o tráfego de rede das vítimas.
Porque é que esta notícia é relevante?
Este incidente ilustra a velocidade recorde com que as vulnerabilidades recentemente divulgadas se transformam em ataques ativos na internet, representando um grave perigo para os servidores não atualizados. Além disso, a utilização de ferramentas de proxy indica o desejo dos atacantes de tirar partido dos endereços IP residenciais associados aos servidores Plex para aceder a redes privadas virtuais e contas de correio eletrónico.
Estes desenvolvimentos sublinham a necessidade de cumprir as recomendações de segurança anteriores da Plex, que enfatizaram a importância de instalar as versões de software mais recentes assim que estiverem disponíveis para evitar os riscos associados a essas vulnerabilidades críticas.