Czym jest luka Plex2Shell?

Plex2Shell to podatność w Plex Media Server, która pozwala zdalnie wykonać kod na serwerze bez konta i bez logowania. Jest aktywnie wykorzystywana przez atakujących przeciwko niezałatanym instalacjom wystawionym do Internetu.

Jak sprawdzić, czy mój serwer Plex jest zagrożony?

Sprawdź wersję oprogramowania i upewnij się, że nie jest starsza niż 1.43.3. Następnie zweryfikuj, czy serwer nie jest dostępny z Internetu bez ograniczeń, np. przez przekierowanie portów.

Co zrobić, jeśli serwer Plex został już przejęty?

Odłącz urządzenie od sieci, sprawdź nieznane procesy i połączenia, a następnie przywróć system z czystej kopii lub zainstaluj go od nowa. Zmień hasła do kont powiązanych z serwerem.

Czy Plex2Shell to zero-day?

Nie. Istnieje już poprawka producenta, dlatego kluczowe jest szybkie zainstalowanie aktualizacji, a nie oczekiwanie na nowe zabezpieczenia.

Dlaczego domowe serwery Plex są szczególnie narażone?

Serwery często działają na adresach przypisanych zwykłym użytkownikom i rzadko są monitorowane, więc włamanie może pozostać niezauważone przez długi czas.

Plex2Shell: aktywny atak na domowe serwery Plex – jak sprawdzić i zabezpieczyć swój

Luka Plex2Shell w Plex Media Server jest aktywnie wykorzystywana. Dowiedz się, jak sprawdzić swój serwer, zainstalować poprawkę 1.43.

Plex2Shell to podatność w Plex Media Server, która pozwala zdalnie przejąć kontrolę nad serwerem bez konta i logowania, a atakujący już aktywnie ją wykorzystują. Dotyczy ona przede wszystkim serwerów, które nie zostały zaktualizowane i są dostępne z Internetu. Jeśli prowadzisz domową mediateką lub korzystasz z Plex w sieci lokalnej i udostępniasz ją na zewnątrz, ten temat dotyczy Ciebie bezpośrednio.

Jak działa atak Plex2Shell?

Cała luka składa się z łańcucha czterech podatności oznaczonych identyfikatorami CVE-2026-96652, CVE-2026-96654, CVE-2026-96655 oraz CVE-2026-96656. Połączone ze sobą pozwalają napastnikowi uruchomić własny kod na serwerze, zanim ktokolwiek zdąży się zalogować. Dla właściciela domowego serwera oznacza to, że sama obecność otwartego, niezałatanego usługi w Internecie wystarcza, by stać się celem.

Kod demonstracyjny wykorzystujący tę lukę został opublikowany przez badacza Zacha Maina. Już dzień po udostępnieniu szczegółów technicznych zaczęły pojawiać się pierwsze próby ataków. Wcześniej na pułapkach typu honeypot notowano wyłącznie skanowanie i rekonesans, czyli sprawdzanie, które adresy odpowiadają na zapytania. Pierwsze skuteczne włamania odnotowano 17 października.

Jakie ładunki wykorzystują atakujący?

Przejęte serwery były wykorzystywane do różnych celów. Zidentyfikowano dwa typy ładunków: koparkę kryptowalut oraz proxy o nazwie myawesomeproxy. Koparka działa po cichu i obciąża procesor, przez co użytkownik może zauważyć jedynie spadek wydajności lub wyższe zużycie energii. Proxy natomiast pozwala napastnikom kierować ruch przez cudzy adres IP, co utrudnia wykrycie ich działań i może skutkować problemami z reputacją domowego łącza.

W jednym z opisanych przypadków proces koparki działał na komputerze użytkownika pod nazwą „mylovelyminer”. Taka nazwa nie wzbudza podejrzeń u osoby, która nie przegląda regularnie listy uruchomionych programów, dlatego warto wiedzieć, czego szukać.

Jak sprawdzić, czy mój serwer Plex jest bezpieczny?

Pierwszy krok to sprawdzenie wersji oprogramowania. Poprawka producenta pojawiła się 1 września i wprowadziła wersję 1.43.3. Każda starsza instalacja pozostaje podatna. Aktualizację warto wykonać od razu, a potem sprawdzić, czy zmiana została zastosowana.

Drugi krok to ocena ekspozycji na Internet. Jeśli przekierowałeś port do serwera Plex, aby mieć dostęp zdalny, rozważ ograniczenie go do zaufanych adresów, włączenie zdalnego dostępu wyłącznie przez bezpieczny tunel lub całkowite wyłączenie tej funkcji, jeśli z niej nie korzystasz. Badacze zwracają uwagę, że serwery Plex często znajdują się bezpośrednio na adresach zwykłych użytkowników, a nie za profesjonalną infrastrukturą, co czyni je łatwym celem.

Trzeci krok to kontrola procesów. Sprawdź listę uruchomionych programów na komputerze lub serwerze, zwróć uwagę na nieznane nazwy i nietypowe obciążenie procesora. Podejrzane połączenia wychodzące można wykryć w ustawieniach zapory lub w narzędziach monitorujących ruch.

Co zrobić, jeśli podejrzewam, że serwer został przejęty?

Jeśli zauważysz nieznane procesy lub podejrzane połączenia, odłącz serwer od sieci, zanim zaczniesz analizę. Następnie przejrzyj konta użytkowników i zmień hasła do wszystkich usług powiązanych z tym urządzeniem. Najpewniejszym rozwiązaniem jest czysta reinstalacja systemu, ponieważ część modyfikacji wprowadzonych przez napastnika może być trudna do wykrycia ręcznie.

Oś czasu: kiedy co się wydarzyło

Data	Wydarzenie
1 września	Plex wydaje poprawkę w wersji 1.43.3
Dzień po publikacji szczegółów technicznych	Pojawiają się pierwsze próby ataków
17 października	Odnotowano pierwsze skuteczne włamania

Tabela pokazuje, że między wydaniem poprawki a pierwszymi skutecznymi atakami upłynął czas, w którym niezałatane serwery pozostawały wystawione na ryzyko. To dobra okazja, by sprawdzić własną instalację, zanim sytuacja się pogorszy.

Co to oznacza dla Ciebie?

Jeśli korzystasz z Plex Media Server, aktualizacja do wersji 1.43.3 jest priorytetem, a nie opcjonalnym krokiem. Im dłużej serwer pozostaje bez poprawki i z otwartym dostępem z Internetu, tym większe ryzyko, że zostanie przejęty i wykorzystany do kopania kryptowalut lub jako element cudzej infrastruktury proxy. Warto też przyjąć zasadę, że usługi domowe wystawione na zewnątrz wymagają regularnych przeglądów, podobnie jak inne urządzenia w sieci inteligentnego domu.