Plex2Shell-Exploit-Kette ermöglicht nicht authentifizierten Remote-Code-Ausführung auf Medienservern

Bedrohungsakteure haben begonnen, eine kritische Kette von Schwachstellen im Plex Media Server auszunutzen, um Kryptowährungs-Miner und Reverse-Proxy-Software bereitzustellen. Diese aktive Ausnutzung begann unmittelbar nachdem technische Details und Proof-of-Concept-Code für die als Plex2Shell bekannte Exploit-Kette am 16. Oktober 2026 öffentlich gemacht wurden.

Was passiert ist

Der Sicherheitsforscher Zach Main meldete Plex am 27. Juli 2026 fünf Schwachstellen. Das Unternehmen behob vier davon, die zusammen als Plex2Shell bezeichnet werden, in der Version 1.43.3.10861 des Plex Media Servers, die am 3. August 2026 veröffentlicht wurde. Eine fünfte Schwachstelle, CVE-2026-96651, war ebenfalls Teil der Offenlegung, gehört aber nicht zur primären hier beschriebenen Ausnutzungs-Kette.

Obwohl der Patch seit über zwei Monaten verfügbar war, nahm die aktive Ausnutzung erst stark zu, nachdem ein Forscher unter dem Pseudonym boredhackerblog am 16. Oktober 2026 eine technische Analyse darüber veröffentlichte, wie die Fehler verkettet werden können. Innerhalb von 24 Stunden wurden Angriffe in freier Wildbahn verzeichnet. Diese Angriffe zielen auf anfällige Instanzen ab, die nicht auf die gepatchte Version aktualisiert wurden.

Die Ausnutzung führte zur Bereitstellung bösartiger Payloads von Remote-Servern, insbesondere von der IP-Adresse 217.60.194[.]116. Der Angriffsverkehr stammt von mehreren IP-Adressen, darunter 91.92.40[.]202, 176.65.139[.]228 und 45.194.92[.]222. Das Ziel scheint die Ressourcenentführung und Netzwerkunterwanderung zu sein, eher als einfacher Datendiebstahl oder Ransomware.

Wie es funktioniert

Die Plex2Shell-Exploit-Kette kombiniert vier verschiedene Schwachstellen, um eine nicht authentifizierte Remote-Code-Ausführung zu erreichen. Der Prozess beginnt mit CVE-2026-96652, einer nicht authentifizierten Server-Side Request Forgery (SSRF)-Schwachstelle. Diese Schwachstelle befindet sich im Endpunkt "/player/timeline", wo der Parameter "protocol" ohne Validierung in eine URL eingefügt wird. Dies ermöglicht es einem Angreifer, den Plex-Server dazu zu zwingen, POST-Anfragen an jedes von ihm gewählte Ziel zu senden.

Anschließend nutzt der Angreifer CVE-2026-96654 aus, was eine unsachgemäße Neutralisierung von URL-Werten im Endpunkt "searchOne" betrifft. Dieser Fehler ermöglicht es dem Angreifer, Funktionen anderer Plugins aufzurufen und benutzerdefinierte Parameter zu liefern. Auf diese Weise kann er das Admin-Token des Besitzers erhalten und seine Berechtigungen effektiv vom Status eines nicht authentifizierten Benutzers zum authentifizierten Administrator hochstufen.

Mit dem gesicherten Admin-Token nutzt der Angreifer CVE-2026-96655, eine weitere SSRF-Schwachstelle. Dieser Fehler ermöglicht es einem authentifizierten Benutzer, beliebige interne oder externe Adressen über den Pfad '/video/:/transcode/universal' anzufordern. Der Angreifer nutzt dies, um einen bösartigen ELF-Payload von einem externen Server abzurufen und ihn als Träger-Video zu tarnen. Schließlich ermöglicht CVE-2026-96656, eine Schwachstelle bei der externen Steuerung von Dateinamen oder Pfaden, dem Angreifer, dieses ELF Shared Object in einen bestimmten Pfad im Codecs-Verzeichnis zu schreiben und auszuführen. Dieser letzte Schritt gewährt dem Angreifer die vollständige Remote-Code-Ausführung auf dem Server.

Wichtige Details

• Die Exploit-Kette, genannt Plex2Shell, besteht aus CVE-2026-96652, CVE-2026-96654, CVE-2026-96655 und CVE-2026-96656.
• Patches wurden am 3. August 2026 in Plex Media Server 1.43.3.10861 veröffentlicht, nach der Offenlegung am 27. Juli 2026.
• Die aktive Ausnutzung begann am 17. Oktober 2026, einen Tag nach der Veröffentlichung der Proof-of-Concept-Details.
• Angreifer stellen ein Linux-Backdoor namens "myawesomeproxy" und einen XMRig-Miner-Prozess namens "mylovelyminer" bereit.
• Der Mining-Server verbindet sich mit "ota.proxystream[.]st", einer Domain, die mit dem AISURU-DDoS-Botnet in Verbindung steht.
• Das Backdoor zeigt eine Meldung an, dass das Ausführen der Software der externen Nutzung des Internet-Traffics zustimmt.

Warum es wichtig ist

Für Ingenieure und Systemadministratoren, die selbst gehostete Infrastruktur verwalten, hebt dieser Vorfall das schwere Risiko verzögerter Patches hervor. Während die Schwachstellen im August gepatcht wurden, löste die Verfügbarkeit einer klaren Exploit-Kette im Oktober sofort automatisierte Angriffe aus. Dies zeigt, dass Sicherheit durch Verborgenheit wirkungslos ist, sobald technische Details öffentlich sind. Selbst gehostete Dienste, die oft aufgrund ihrer Isolation als sicherer wahrgenommen werden, sind prime Ziele, wenn sie komplexe Web-Schnittstellen dem Internet aussetzen.

Die Bereitstellung sowohl eines Krypto-Miners als auch eines Reverse-Proxy-Backdoors deutet auf ein duales Bedrohungsmodell hin. Der Miner verbraucht Rechenressourcen, was die Serviceleistung beeinträchtigen und die Stromkosten erhöhen kann. Kritischer noch macht das "myawesomeproxy"-Backdoor den kompromittierten Server zu einem Knotenpunkt für die Weiterleitung bösartigen Traffics. Dies kann den Serverbesitzer in weitere Angriffe verwickeln, wie DDoS-Kampagnen, und die Netzwerkintegrität über den einzelnen Host hinaus gefährden.

Die Verbindung zum AISURU-Botnet deutet auf organisierte kriminelle Beteiligung hin, eher als auf opportunistische Skriptkiddies. Die Nutzung etablierter Infrastruktur wie "global.relay.proxystream[.]st" zeigt eine ausgereifte Operation. Für technische Gründer und IT-Leiter unterstreicht dies die Notwendigkeit rigoroser Update-Richtlinien und Netzwerküberwachung für alle exponierten Dienste, nicht nur für kundenseitige Anwendungen.

Was Sie tun können

• Aktualisieren Sie den Plex Media Server sofort auf Version 1.43.3.10861 oder neuer, falls Sie dies noch nicht getan haben.
• Überprüfen Sie Ihre Server-Logs auf verdächtige POST-Anfragen an "/player/timeline" oder ungewöhnliche Aktivitäten auf "/video/:/transcode/universal".
• Überwachen Sie unbekannte Prozesse namens "mylovelyminer" oder "myawesomeproxy", die auf Ihren Linux-Hosts laufen.
• Blockieren Sie ausgehende Verbindungen zu bekannten bösartigen IPs wie 217.60.194[.]116 und Domains wie "ota.proxystream[.]st".
• Schränken Sie den Zugriff auf Ihre Plex Media Server-Schnittstelle über Firewalls oder Reverse Proxies ein, um die Exposition gegenüber nicht vertrauenswürdigen Netzwerken zu begrenzen.
• Prüfen Sie andere selbst gehostete Dienste auf ähnliche ungepatchte Schwachstellen und stellen Sie sicher, dass automatische Updates aktiviert sind, wo möglich.