Hackers están explotando activamente una cadena de vulnerabilidades, denominada “Plex2Shell”, en Plex Media Server para instalar mineros de criptomonedas y puertas traseras de proxy en sistemas Linux. Esta campaña de ataque afecta a usuarios y organizaciones que operan instancias de Plex Media Server sin actualizar, exponiéndolos a un uso no autorizado de recursos y riesgos de seguridad.
La explotación combina cuatro vulnerabilidades específicas: CVE-2026-96652 (SSRF no autenticada), CVE-2026-96654 (neutralización incorrecta de URL para obtener tokens de administrador), CVE-2026-96655 (SSRF autenticada para solicitar direcciones arbitrarias) y CVE-2026-96656 (control externo de nombre o ruta de archivo para ejecutar código malicioso). Encadenadas, permiten la ejecución remota de código no autenticado en servidores Plex vulnerables. Los atacantes despliegan un script para descargar y ejecutar un payload de minería (x12345) y un backdoor Linux sigiloso (myawesomeproxy), que también opera como proxy inverso.
Los intentos de explotación se registraron apenas un día después de la publicación de una prueba de concepto (PoC) técnica el 16 de octubre de 2026. Las actividades de ataque provienen de varias direcciones IP maliciosas y buscan comprometer la capacidad de procesamiento de los servidores afectados para la minería de criptomonedas, además de establecer una persistencia a través de la puerta trasera para futuros usos. También se ha observado la implementación de un minero XMRig (mylovelyminer) conectado a dominios asociados con botnets de proxyware y DDoS como AISURU. Múltiples usuarios de Plex ya han reportado compromisos con el mismo payload mylovelyminer.
Plex lanzó un parche para estas vulnerabilidades en la versión Plex Media Server 1.43.3.10861, disponible desde el 3 de agosto de 2026. Es crítico que los administradores y usuarios actualicen inmediatamente sus instancias de Plex Media Server a esta versión o una superior para protegerse contra estas explotaciones activas. La falta de actualización deja los sistemas expuestos a la ejecución de código arbitrario y a la instalación de malware.
Qué significa para tu empresa: Este incidente subraya la importancia de mantener todos los sistemas y aplicaciones actualizados, especialmente aquellos accesibles desde internet. La detección temprana de actividades maliciosas como la minería no autorizada o la instalación de backdoors es fundamental. Un SOC con monitoreo 24/7 proporciona la capacidad de detectar anomalías y responder rápidamente a incidentes, identificando comportamientos sospechosos que podrían indicar una brecha de seguridad antes de que causen daños mayores, complementado con la protección de endpoints EDR/XDR para neutralizar amenazas en los dispositivos finales.
Fuente original: The Hacker News — ver artículo →