串流影音伺服器軟體業者 Plex 於 10 月 19 日證實，Plex Media Server 存在四個可串接成「
Plex2Shell」攻擊鏈的漏洞，目前已遭大規模利用。攻擊者鎖定尚未更新且直接暴露於網際網路的伺服器，植入加密貨幣挖礦程式及代理軟體。Plex 表示，
版本 1.43.3.10861 及更新版本不受影響；
若伺服器仍使用較舊版本且可從網際網路存取，應假設可能已遭入侵。
概念驗證程式公開隔天即出現攻擊
資安研究人員 Zach Main 於 7 月 27 日透過 Plex 的漏洞獎勵計畫通報這組漏洞，CVE 編號分別為
CVE-2026-96652、CVE-2026-96654、CVE-2026-96655 與
CVE-2026-96656。Plex 於 8 月推出修補版本，並於 9 月 1 日發布安全公告，呼籲
仍使用 1.43.2 或更早版本的使用者盡快更新。
Main 於 10 月 16 日公開技術細節與概念驗證程式（PoC）。隔天，代號為 boredhackerblog 的資安研究人員便在自行架設的誘捕系統（honeypot）上觀察到利用這組漏洞的攻擊行為。
四個漏洞串接，攻擊者無須驗證即可執行程式碼
Main 說明，攻擊者先利用伺服器端請求偽造（SSRF）漏洞，誘使伺服器向自身發出請求，藉此存取原本僅限本機呼叫的內部外掛功能，並竊取伺服器管理員權杖（token）。取得權杖後，再透過轉碼功能，將惡意共用函式庫寫入編解碼器（Codecs）目錄，進而在伺服器上執行任意程式碼。
Plex 指出，串接這些漏洞後，遠端攻擊者無須通過驗證，即可取得 Plex Media Server 程序的權限並執行程式碼。Main 也表示，研究期間曾大量運用大型語言模型（LLM）協助分析，但研究方向的判斷與優先順序仍由他本人決定。
被駭主機淪為挖礦與代理節點
據外媒報導，攻擊者透過殼層指令碼（shell script）從遠端伺服器下載挖礦程式。研究人員隨後發現名為「myawesomeproxy」的程式，VirusTotal 將其判定為具備隱匿功能的 Linux 後門與反向代理（reverse proxy）程式。此外，主機上也執行了名為「mylovelyminer」的 XMRig 挖礦程序，並連線至
ota.proxystream[.]st 網域。
資安風險評等業者 Bitsight 曾於 8 月指出，同一網域下的另一個子網域與 AISURU 殭屍網路有關。AISURU 主要用於發動分散式阻斷服務（DDoS）攻擊及提供代理服務，但目前並無證據顯示本次攻擊與 AISURU 有關。Plex 則表示，遭入侵的伺服器被用來轉送他人的網路流量。
防護建議
Plex 建議使用者採取以下措施：
- 立即確認 Plex Media Server 版本，並更新至 1.43.3.10861 或更新版本。
- 檢查是否有名為 myawesomeproxy、mylovelyminer 或 x12345 的陌生程序，以及 Codecs 資料夾中是否有不明的 .so 或 .dll 檔案。
- 留意是否有連線至 proxystream.st 的對外流量，或在未播放影片時 CPU 使用率仍長時間偏高。
- 若無法排除伺服器已遭入侵，應以全新安裝方式重建伺服器，並登出所有裝置、變更 Plex 密碼；此外，應假設 Plex 服務帳號可存取的共用資料夾與憑證可能已外洩。
- 若不需要遠端存取，請關閉此功能，避免直接將 32400 埠轉送至網際網路。
本文轉載自TheHackerNews。