La cadena de exploits Plex2Shell permite la ejecución remota de código sin autenticación en servidores multimedia

Actores de amenazas han comenzado a explotar una cadena crítica de vulnerabilidades en Plex Media Server para desplegar mineros de criptomonedas y software de proxy inverso. Esta explotación activa comenzó inmediatamente después de que los detalles técnicos y el código de prueba de concepto (PoC) de la cadena de exploits, conocida como Plex2Shell, fueran hechos públicos el 16 de octubre de 2026.

Qué ocurrió

El investigador de seguridad Zach Main divulgó cinco vulnerabilidades a Plex el 27 de julio de 2026. La empresa abordó cuatro de ellas, denominadas colectivamente Plex2Shell, en la versión 1.43.3.10861 de Plex Media Server, lanzada el 3 de agosto de 2026. Una quinta vulnerabilidad, CVE-2026-96651, también formaba parte de la divulgación, pero no integra la cadena principal de explotación descrita aquí.

A pesar de que el parche estaba disponible desde hacía más de dos meses, la explotación activa solo se disparó después de que un investigador bajo el alias boredhackerblog publicara un desglose técnico sobre cómo encadenar las fallas el 16 de octubre de 2026. En menos de 24 horas, se registraron ataques en entornos reales. Estos ataques apuntan a instancias vulnerables que no han sido actualizadas a la versión parcheada.

La explotación ha resultado en el despliegue de cargas útiles maliciosas desde servidores remotos, específicamente desde la dirección IP 217.60.194[.]116. Se ha observado tráfico de ataque originado desde varias direcciones IP, incluyendo 91.92.40[.]202, 176.65.139[.]228 y 45.194.92[.]222. El objetivo parece ser el secuestro de recursos y la infiltración de red, más que el simple robo de datos o ransomware.

Cómo funciona

La cadena de exploits Plex2Shell combina cuatro vulnerabilidades distintas para lograr la ejecución remota de código sin autenticación. El proceso comienza con CVE-2026-96652, una falla de falsificación de solicitudes del lado del servidor (SSRF) sin autenticación. Esta vulnerabilidad existe en el endpoint "/player/timeline", donde el parámetro "protocol" se inserta en una URL sin validación. Esto permite a un atacante forzar al servidor Plex a enviar solicitudes POST a cualquier destino que elija.

A continuación, el atacante aprovecha CVE-2026-96654, que implica una neutralización inadecuada de valores de URL en el endpoint "searchOne". Esta falla permite al atacante llamar funciones de otros plugins y suministrar parámetros personalizados. Al hacerlo, pueden obtener el token de administrador del propietario, escalando efectivamente sus privilegios de estado no autenticado a administrador autenticado.

Con el token de administrador asegurado, el atacante utiliza CVE-2026-96655, otra vulnerabilidad SSRF. Esta falla permite a un usuario autenticado solicitar direcciones internas o externas arbitrarias a través de la ruta '/video/:/transcode/universal'. El atacante usa esto para recuperar una carga útil ELF maliciosa alojada en un servidor externo, disfrazándola como un video portador. Finalmente, CVE-2026-96656, una vulnerabilidad de control externo del nombre o ruta de archivo, permite al atacante escribir este objeto compartido ELF en una ruta específica dentro del directorio Codecs y ejecutarlo. Este último paso otorga al atacante la ejecución completa de código remoto en el servidor.

Detalles clave

• La cadena de exploits, denominada Plex2Shell, consiste en CVE-2026-96652, CVE-2026-96654, CVE-2026-96655 y CVE-2026-96656.
• Los parches fueron lanzados en Plex Media Server 1.43.3.10861 el 3 de agosto de 2026, tras la divulgación el 27 de julio de 2026.
• La explotación activa comenzó el 17 de octubre de 2026, un día después de que se publicaran los detalles de la prueba de concepto.
• Los atacantes despliegan un backdoor de Linux llamado "myawesomeproxy" y un proceso minero XMRig denominado "mylovelyminer".
• El servidor de minería se conecta a "ota.proxystream[.]st", un dominio vinculado a la botnet DDoS AISURU.
• El backdoor muestra un mensaje indicando que su ejecución implica aceptar el uso externo del tráfico de internet.

Por qué importa

Para ingenieros y administradores de sistemas que gestionan infraestructura autoalojada, este incidente destaca el grave riesgo de retrasar la aplicación de parches. Aunque las vulnerabilidades fueron corregidas en agosto, la disponibilidad de una cadena de exploits clara en octubre desencadenó ataques automatizados inmediatos. Esto demuestra que la seguridad por oscuridad es ineficaz una vez que los detalles técnicos son públicos. Los servicios autoalojados, a menudo percibidos como más seguros debido a su aislamiento, son objetivos primordiales cuando exponen interfaces web complejas a internet.

El despliegue tanto de un minero de criptomonedas como de un backdoor de proxy inverso indica un modelo de amenaza dual. El minero consume recursos computacionales, lo que potencialmente degrada el rendimiento del servicio y aumenta los costos de electricidad. Más críticamente, el backdoor "myawesomeproxy" convierte el servidor comprometido en un nodo para enrutar tráfico malicioso. Esto puede implicar al propietario del servidor en ataques adicionales, como campañas DDoS, y comprometer la integridad de la red más allá del host único.

La conexión con la botnet AISURU sugiere la participación criminal organizada en lugar de script kiddies oportunistas. El uso de infraestructura establecida como "global.relay.proxystream[.]st" indica una operación madura. Para fundadores técnicos y líderes de TI, esto subraya la necesidad de políticas rigurosas de actualización y monitoreo de red para todos los servicios expuestos, no solo las aplicaciones orientadas al cliente.

Qué puedes hacer

• Actualiza inmediatamente Plex Media Server a la versión 1.43.3.10861 o posterior si aún no lo has hecho.
• Revisa los registros de tu servidor en busca de solicitudes POST sospechosas a "/player/timeline" o actividad inusual en "/video/:/transcode/universal".
• Monitorea procesos desconocidos llamados "mylovelyminer" o "myawesomeproxy" ejecutándose en tus hosts Linux.
• Bloquea las conexiones salientes hacia IPs maliciosas conocidas como 217.60.194[.]116 y dominios como "ota.proxystream[.]st".
• Restringe el acceso a la interfaz de tu Plex Media Server utilizando firewalls o proxies inversos para limitar la exposición a redes no confiables.
• Audita otros servicios autoalojados en busca de vulnerabilidades similares sin parchear y asegúrate de habilitar las actualizaciones automáticas donde sea posible.