Aanvallers misbruiken vier kwetsbaarheden in Plex Media Server om cryptominers en proxysoftware te installeren op kwetsbare systemen.
Beveiligingslekken in Plex Media Server worden actief misbruikt door aanvallers om kwetsbare servers te compromitteren. Plex bracht in september updates uit om vier kritieke kwetsbaarheden te verhelpen, maar tienduizenden servers zijn nog steeds niet gepatcht. De kwetsbaarheden, bekend onder de aanduidingen CVE-2026-96652, CVE-2026-96654, CVE-2026-96655 en CVE-2026-96656, maken het mogelijk voor een ongeauthenticeerde aanvaller om code uit te voeren op de server. Deze aanvalsmethode staat bekend als Plex2Shell.
Door het combineren van deze kwetsbaarheden kunnen aanvallers het admin-token stelen, waarmee zij toegang krijgen tot de server. Vervolgens schrijven zij malafide code naar de codec-directory via een speciaal geprepareerde video, waardoor zij een shell op het systeem verkrijgen. In de praktijk worden de gehackte mediaservers gebruikt om cryptominers te installeren die de rekenkracht inzetten voor het minen van cryptovaluta. Daarnaast wordt proxysoftware geplaatst om verdere aanvallen via de gecompromitteerde systemen uit te voeren.
Volgens beveiligingsonderzoekers worden de kwetsbaarheden momenteel actief uitgebuit. De Shadowserver Foundation waarschuwde vorige maand dat er wereldwijd ongeveer 36.000 kwetsbare Plex-servers online staan. Uit de laatste meting blijkt dat Nederland nog altijd meer dan vijftienhonderd kwetsbare servers telt. Plex adviseert gebruikers dringend om te updaten naar versie 1.43.3 of hoger. De onderzoeker die de kwetsbaarheden meldde, ontving een beloning van 500 dollar.
