Angreifer verketten Plex-Lücken für Krypto-Miner und Proxy-Backdoor

So funktioniert die Lückenkette

Laut einem Forscher, der unter dem Online-Alias boredhackerblog auftritt, verknüpfen die Angriffe vier Schwachstellen, die zusammen Plex2Shell genannt werden. In der richtigen Reihenfolge lassen sich die Lücken kombinieren, um auf anfälligen Instanzen des Plex Media Servers eine Remote-Code-Ausführung ohne Authentifizierung zu erreichen.

Die erste Schwachstelle ist eine Server-Side Request Forgery im Timeline-Endpunkt des Players, durch die ein Angreifer den Server Anfragen an ein frei gewähltes Ziel senden lassen kann. Eine zweite SSRF, die einen authentifizierten Nutzer voraussetzt, erreicht interne oder externe Adressen über den universellen Transcode-Pfad. Eine weitere Lücke erlaubt es, eine Shared-Object-Datei in das Codecs-Verzeichnis zu legen und auszuführen, während eine vierte einem Angreifer den Admin-Token des Besitzers verschaffen kann.

Meldung und Patch im Zeitverlauf

Die Schwachstellen wurden am 27. Juli 2026 vom Sicherheitsforscher Zach Main an Plex gemeldet. Plex behob sie im Plex Media Server 1.43.3.10861, der am 3. August 2026 erschien.

Nachdem technische Details der Kette am 16. Oktober 2026 öffentlich wurden, sind Angriffsaktivitäten registriert worden. Die Angriffe führten zur Installation einer Miner-Nutzlast von einem externen Server. Beim Start des Programms erscheint zudem ein Hinweis, dass die Nutzung eine mögliche externe Nutzung des eigenen Internetverkehrs einschließt.

Was offen bleibt

Der Bericht lässt offen, ob die Schwachstellen Teil einer separat erwähnten Warnung sind. Die Angaben stützen sich auf einen einzigen namentlich genannten Bericht und auf die Schilderung eines Forschers, sodass der volle Umfang der Kampagne bislang nicht unabhängig bestätigt ist.

Offene Fragen

• Hängen die Schwachstellen mit einer separat gemeldeten Warnung zusammen?
• Wie viele Plex-Media-Server-Instanzen sind bislang kompromittiert?