Een groep aanvallers lijkt Plex2Shell crypto miners te kunnen inzetten door een keten van kwetsbaarheden in Plex Media Server te misbruiken. Kort nadat een proof-of-concept (PoC) openbaar werd, verschenen er in-the-wild pogingen waarbij zowel cryptomining-software als een Linux reverse proxy/backdoor werd geplaatst.
Belangrijk: de aanval werkt niet met één losse bug. De ernst zit juist in de combinatie—aanvallers schakelen meerdere tekortkomingen achter elkaar om uiteindelijk code te laten uitvoeren op getroffen Plex-systemen.
Wat is Plex2Shell?
Onderzoekers beschrijven Plex2Shell als een exploit-keten die bestaat uit vier verschillende kwetsbaarheden. Samen kunnen ze worden gebruikt om—bij Plex Media Server-instanties die nog niet zijn gepatcht—te komen tot unauthenticated remote code execution.
Volgens het onderzoek werd de keten ook al kort na publicatie actief gezien. Daarbij zagen we in meldingen ook aanwijzingen van cryptominers en een proxy/backdoorcomponent.
De vier kwetsbaarheden in de keten
De keten wordt gekoppeld aan de volgende CVE’s (met bijbehorende CVSS-scores zoals vermeld in de broninformatie):
- CVE-2026-96652 (CVSS 5.3): een unauthenticated server-side request forgery (SSRF) via het /player/timeline-endpoint. Door een protocol-parameter zonder voldoende validatie in een URL te verwerken, kan een aanvaller de server laten POST’en naar een bestemming naar keuze.
- CVE-2026-96654 (CVSS 6.9): een fout in de manier waarop URL-waarden uit de searchOne-endpoint worden geneutraliseerd. Daardoor kan een aanvaller andere pluginfuncties aanroepen en parameters doorgeven om een admin-token van de eigenaar te verkrijgen.
- CVE-2026-96655 (CVSS 5.3): een SSRF die is gericht op de route /video/:/transcode/universal. Met een eigenaar-token kan een aanvaller arbitraire interne of externe adressen opvragen—bijvoorbeeld een aanvaller-host die een payload levert.
- CVE-2026-96656 (CVSS 8.6): een externe bestandsnaam-/padcontrolekwetsbaarheid waarmee een ELF shared object naar een door de aanvaller gekozen locatie in de Codecs-directory kan worden geplaatst en vervolgens kan worden uitgevoerd.
Met deze stappen na elkaar kan een aanvaller—volgens de analyse—komen tot uitvoering op de Plex-server zonder dat voorafgaande authenticatie nodig is.
Crypto miners én een Linux proxy/backdoor
In de gerapporteerde aanvallen leidde de exploit-keten tot het neerzetten van een minerpayload. De broninformatie noemt ook een remote server die de payload levert.
Daarnaast werd een artifact met de naam “myawesomeproxy” gezien. Op basis van gegevens van VirusTotal wordt dit beschreven als een stealthy Linux backdoor en reverse proxy. De bijgeleverde uitvoer, zoals geciteerd in de bron, wijst erop dat het programma mogelijk extern internetverkeer kan gebruiken.
Mylovelyminer draait tegelijk
Naast de proxy/backdoorcomponent wordt ook gelijktijdig een XMRig-minerproces genoemd, geïdentificeerd als “mylovelyminer”. De mining-server waarnaar het proces zou wijzen, is genoemd in de broninformatie.
Verder zijn er in de meldingen koppelingen gelegd met domeinen/subdomeinen die eerder door andere beveiligingspartijen in verband werden gebracht met een proxyware-botnet en DDoS-activiteit.
Wanneer is er gepatcht?
De kwetsbaarheden werden volgens de broninformatie op 27 juli 2026 gemeld aan Plex door een security researcher. Plex bracht vervolgens een fix uit in Plex Media Server 1.43.3.10861, uitgebracht op 3 augustus 2026.
Ondertussen werden er al pogingen waargenomen die samenhangen met de publicatie van technische details. Dat betekent: wie nog een oudere versie gebruikt, loopt aantoonbaar meer risico.
Welke signalen zijn er waargenomen?
In de broninformatie worden verschillende IP-adressen genoemd die in verband werden gebracht met de exploitpogingen. Ook zijn er meldingen van Plex-gebruikers via Reddit waarin staat dat meerdere instanties gecompromitteerd zouden zijn met hetzelfde minerpayload.
Wat nog niet met zekerheid is vastgesteld: of al die gevallen daadwerkelijk uitsluitend voortkomen uit de Plex2Shell crypto miners-keten, of dat er meerdere aanvalsroutes bestaan naast—of in combinatie met—de genoemde CVE’s.
Wat moet je nu doen?
Omdat er sprake is van actieve misbruikpogingen, is de beste stap om direct op te schonen en te controleren.
- Update Plex Media Server: installeer zo snel mogelijk de gepatchte versie die in de bron wordt genoemd. Regel: als je versie ouder is dan de fix, beschouw je systeem als kwetsbaar.
- Check op verdachte processen: let op cryptomining-activiteiten (zoals XMRig) en onbekende proxy/backdoorcomponenten.
- Controleer netwerkverkeer: monitor of je Plex-server plots verbindingen maakt met nieuwe domeinen/IP’s die passen bij proxy- of mining-infrastructuur.
- Beoordeel accounts en tokens: hoewel de keten bedoeld lijkt voor systemen die niet gepatcht zijn, is het verstandig om te verifiëren of Plex-sessies of API-toegang niet ongewenst is.
De kern is eenvoudig: zolang je niet gepatcht bent, kan een aanvaller de keten opstarten en ongewenste software plaatsen.
Vergelijkbare risico’s: supply chain en ketenaanvallen
Deze casus laat precies zien waarom beveiliging niet alleen om één bug gaat. Wanneer kwetsbaarheden in een logische keten samen worden ingezet, kan het effect zwaarder zijn dan je op basis van individuele CVSS-scores zou verwachten.
Als je breder wilt kijken naar dit type risico (ketens, doorwerking en tweede-orde-impact), dan passen ook andere incidenten op onze site goed in dit plaatje. Zo behandelen we bijvoorbeeld het misbruik bij Plex2Shell-ontwikkeling en exploit-pogingen en lichten we in een andere context toe hoe supply chain-aanvallen kunnen leiden tot herhaald misbruik.
Conclusie
Plex2Shell crypto miners zijn geen theoretisch scenario meer: er zijn meldingen van echte aanvallen waarbij Plex Media Server kwetsbaarheden combineert om miners en een Linux proxy/backdoor te deployen. Omdat er al gepatchte versies beschikbaar zijn, is de prioriteit voor beheerders duidelijk: update onmiddellijk en controleer daarna op verdachte processen en netwerkactiviteit.
Bron: https://thehackernews.com/2026/10/hackers-exploit-plex2shell-flaws-to.html
