Злоумышленники начали эксплуатировать цепочку уязвимостей безопасности, известную как 'Plex2Shell' и затрагивающую медиасерверы 'Plex Media Server', всего через один день после публикации технических деталей и демонстрационного кода эксплойта для общего доступа 16 октября. Цепочка состоит из четырех уязвимостей, зарегистрированных под кодами CVE-2026-96652, CVE-2026-96654, CVE-2026-96655 и CVE-2026-96656, которые при объединении позволяют выполнять произвольный код на уязвимых серверах без необходимости предоставления действительных учетных данных и с правами службы Plex.
Истоки проблемы восходят к отчету, направленному в упомянутую компанию 27 июля; компания подтвердила наличие уязвимостей и выплатила вознаграждение за их обнаружение 4 августа. Позже, 1 сентября, Plex объявила о выпуске необходимых обновлений и призвала владельцев серверов выполнить немедленное обновление.
Фиксация реальных атак через приманку
ИБ-специалисту удалось зафиксировать фактические операции по эксплуатации путем настройки подключенной к интернету ловушки (honeypot), на которой была запущена уязвимая версия. До 17 октября платформа получала лишь разведывательные сканирования и общие попытки атак, после чего были зафиксированы реальные эксплуатационные атаки с использованием публично опубликованного кода.
Эти атаки привели к установке в виртуальной среде двух вредоносных программ: первая — инструмент для майнинга криптовалюты на базе 'XMRig', а вторая — программа под названием 'myawesomeproxy', работающая в качестве прокси-утилиты, которая использует сетевой трафик жертв.
Почему эта новость важна?
Этот инцидент демонстрирует рекордную скорость, с которой недавно обнародованные уязвимости превращаются в активные атаки в интернете, создавая серьезную угрозу для необновленных серверов. Использование прокси-инструментов также указывает на стремление злоумышленников задействовать IP-адреса жилого сектора, связанные с серверами Plex, для получения доступа к корпоративным виртуальным сетям и учетным записям электронной почты.
Эти события подчеркивают необходимость соблюдения предыдущих рекомендаций безопасности компании Plex, в которых подчеркивалась важность установки последних версий программного обеспечения сразу после их появления для предотвращения рисков, связанных с этими критическими уязвимостями.