Plex2Shell漏洞遭利用，未更新服务器沦为挖矿肉鸡

Plex2Shell漏洞遭利用，未更新服务器沦为挖矿肉鸡

公开一天即遭攻击，蜜罐率先捕获样本

家庭影音服务器软件Plex媒体服务器近日确认遭到在野利用。安全研究员Zach Main在10月16日公开了名为Plex2Shell的漏洞利用链技术细节和概念验证代码，仅约一天之后，一名运营蜜罐的研究员就在10月17日观察到攻击者用这套公开代码入侵了蜜罐服务器，并投放了挖矿木马与代理软件。据CordCuttersNews报道，这是首个被记录的在野利用实例。

四个漏洞串成一条链，无需登录拿下服务器

Plex2Shell并非单个漏洞，而是四个漏洞的组合：CVE-2026-96652、CVE-2026-96654、CVE-2026-96655和CVE-2026-96656。据The Hacker News报道，攻击者先设法窃取服务器主人的管理员令牌，再通过转码接口请求攻击者托管的恶意载荷，把伪造的解码器共享库写入指定路径，下次转码视频时恶意代码即被执行，全程不需要有效登录凭证，执行权限与Plex服务本身相同。Gizmodo引述研究员的说法称，整个过程可以概括为：骗服务器交出令牌，再种下一个转码时运行的恶意文件。

补丁早在八月发布，三万六千台仍裸奔

这四个漏洞连同编号CVE-2026-96651的另一漏洞，早在7月27日就由Zach Main报告给Plex，修复版本1.43.3.10861于8月3日发布，Plex在9月1日公开宣布了修复。但据BleepingComputer引述的Shadowserver基金会扫描数据，截至9月9日，即补丁发布六周之后，全网约30万台暴露在公网的Plex服务器中仍有超过3.6万台未更新。概念验证代码10月16日公开时，大量服务器依然处于可被攻击的状态，攻击在24小时内就到来。

挖矿吃满CPU，代理后门出租你的网络

蜜罐中捕获了两类载荷。据Security Affairs报道，攻击者先投放了基于XMRig的门罗币挖矿木马，有报道称其化名为mylovelyminer，会占满CPU资源；当天稍晚又出现了第二个载荷myawesomeproxy。据The Hacker News报道，该程序在运行时会显示"在设备上运行本软件即表示同意外部使用你的互联网连接"的提示，其实质是把被攻陷主机的住宅网络变成可供他人中转流量的代理节点。Reddit和Neowin上已有用户反映，自家服务器无故发热变慢，检查后发现了恶意挖矿进程。

谁最危险：把32400端口暴露在公网的人

受影响的是1.43.3.10861之前版本、且把服务端口直接暴露在互联网上的服务器，NAS用户尤其需要注意，因为厂商应用商店的更新包往往延迟。据CordCuttersNews报道，排查方法是检查Plex主进程是否派生出可疑子进程、解码器目录是否多出陌生二进制文件，并核查网络日志中是否出现已知恶意地址的连接，包括91.92.40.202、176.65.139.228和45.194.92.222等。Plex在10月19日重申了更新指引，建议立即升级到1.43.3.10861或更新版本，不需要外网访问的用户应关闭远程访问功能，避免把32400端口直接暴露。