Plex2Shell漏洞遭利用，未更新服務器淪爲挖礦肉雞

Plex2Shell漏洞遭利用，未更新服務器淪爲挖礦肉雞

公開一天即遭攻擊，蜜罐率先捕獲樣本

家庭影音服務器軟件Plex媒體服務器近日確認遭到在野利用。安全研究員Zach Main在10月16日公開了名爲Plex2Shell的漏洞利用鏈技術細節和概念驗證代碼，僅約一天之後，一名運營蜜罐的研究員就在10月17日觀察到攻擊者用這套公開代碼入侵了蜜罐服務器，並投放了挖礦木馬與代理軟件。據CordCuttersNews報道，這是首個被記錄的在野利用實例。

四個漏洞串成一條鏈，無需登錄拿下服務器

Plex2Shell並非單個漏洞，而是四個漏洞的組合：CVE-2026-96652、CVE-2026-96654、CVE-2026-96655和CVE-2026-96656。據The Hacker News報道，攻擊者先設法竊取服務器主人的管理員令牌，再通過轉碼接口請求攻擊者託管的惡意載荷，把僞造的解碼器共享庫寫入指定路徑，下次轉碼視頻時惡意代碼即被執行，全程不需要有效登錄憑證，執行權限與Plex服務本身相同。Gizmodo引述研究員的說法稱，整個過程可以概括爲：騙服務器交出令牌，再種下一個轉碼時運行的惡意文件。

補丁早在八月發佈，三萬六千臺仍裸奔

這四個漏洞連同編號CVE-2026-96651的另一漏洞，早在7月27日就由Zach Main報告給Plex，修復版本1.43.3.10861於8月3日發佈，Plex在9月1日公開宣佈了修復。但據BleepingComputer引述的Shadowserver基金會掃描數據，截至9月9日，即補丁發佈六週之後，全網約30萬臺暴露在公網的Plex服務器中仍有超過3.6萬臺未更新。概念驗證代碼10月16日公開時，大量服務器依然處於可被攻擊的狀態，攻擊在24小時內就到來。

挖礦喫滿CPU，代理後門出租你的網絡

蜜罐中捕獲了兩類載荷。據Security Affairs報道，攻擊者先投放了基於XMRig的門羅幣挖礦木馬，有報道稱其化名爲mylovelyminer，會佔滿CPU資源；當天稍晚又出現了第二個載荷myawesomeproxy。據The Hacker News報道，該程序在運行時會顯示"在設備上運行本軟件即表示同意外部使用你的互聯網連接"的提示，其實質是把被攻陷主機的住宅網絡變成可供他人中轉流量的代理節點。Reddit和Neowin上已有用戶反映，自家服務器無故發熱變慢，檢查後發現了惡意挖礦進程。

誰最危險：把32400端口暴露在公網的人

受影響的是1.43.3.10861之前版本、且把服務端口直接暴露在互聯網上的服務器，NAS用戶尤其需要注意，因爲廠商應用商店的更新包往往延遲。據CordCuttersNews報道，排查方法是檢查Plex主進程是否派生出可疑子進程、解碼器目錄是否多出陌生二進制文件，並覈查網絡日誌中是否出現已知惡意地址的連接，包括91.92.40.202、176.65.139.228和45.194.92.222等。Plex在10月19日重申了更新指引，建議立即升級到1.43.3.10861或更新版本，不需要外網訪問的用戶應關閉遠程訪問功能，避免把32400端口直接暴露。