La chaîne d'exploitation Plex2Shell permet l'exécution de code à distance sans authentification sur les serveurs multimédias

Les acteurs malveillants ont commencé à exploiter une chaîne critique de vulnérabilités dans Plex Media Server pour déployer des mineurs de cryptomonnaie et des logiciels de proxy inverse. Cette exploitation active a débuté immédiatement après la publication, le 16 octobre 2026, des détails techniques et du code de preuve de concept (PoC) de cette chaîne d'exploitation, connue sous le nom de Plex2Shell.

Ce qui s'est passé

Le chercheur en sécurité Zach Main a signalé cinq vulnérabilités à Plex le 27 juillet 2026. L'entreprise a corrigé quatre d'entre elles, regroupées sous le terme Plex2Shell, dans la version 1.43.3.10861 de Plex Media Server, publiée le 3 août 2026. Une cinquième vulnérabilité, CVE-2026-96651, faisait également partie de la divulgation, mais ne fait pas partie de la chaîne d'exploitation principale décrite ici.

Bien que le correctif soit disponible depuis plus de deux mois, l'exploitation active n'a explosé qu'après qu'un chercheur utilisant l'alias boredhackerblog ait publié une analyse technique détaillant comment chaîner ces failles le 16 octobre 2026. En moins de 24 heures, des attaques en conditions réelles ont été enregistrées. Ces attaques ciblent les instances vulnérables qui n'ont pas été mises à jour vers la version corrigée.

L'exploitation a entraîné le déploiement de charges utiles malveillantes provenant de serveurs distants, spécifiquement l'adresse IP 217.60.194[.]116. Le trafic d'attaque provient de plusieurs adresses IP, notamment 91.92.40[.]202, 176.65.139[.]228 et 45.194.92[.]222. L'objectif semble être la récupération de ressources et l'infiltration réseau plutôt qu'un simple vol de données ou une attaque par rançongiciel.

Fonctionnement

La chaîne d'exploitation Plex2Shell combine quatre vulnérabilités distinctes pour réaliser une exécution de code à distance sans authentification. Le processus commence avec CVE-2026-96652, une faille de falsification de requête côté serveur (SSRF) non authentifiée. Cette vulnérabilité existe dans le point de terminaison "/player/timeline", où le paramètre "protocol" est inséré dans une URL sans validation. Cela permet à un attaquant de forcer le serveur Plex à envoyer des requêtes POST vers toute destination choisie.

Ensuite, l'attaquant exploite CVE-2026-96654, qui implique une neutralisation incorrecte des valeurs d'URL dans le point de terminaison "searchOne". Cette faille permet à l'attaquant d'appeler des fonctions d'autres plugins et de fournir des paramètres personnalisés. Ce faisant, il peut obtenir le jeton administrateur du propriétaire, augmentant ainsi ses privilèges d'un statut non authentifié à celui d'administrateur authentifié.

Une fois le jeton administrateur sécurisé, l'attaquant utilise CVE-2026-96655, une autre vulnérabilité SSRF. Cette faille permet à un utilisateur authentifié de demander des adresses internes ou arbitraires via le chemin '/video/:/transcode/universal'. L'attaquant l'utilise pour récupérer une charge utile ELF malveillante hébergée sur un serveur externe, en la déguisant en vidéo porteuse. Enfin, CVE-2026-96656, une vulnérabilité de contrôle externe du nom ou du chemin de fichier, permet à l'attaquant d'écrire cet objet partagé ELF dans un chemin spécifique du répertoire Codecs et de l'exécuter. Cette dernière étape accorde à l'attaquant une exécution de code à distance complète sur le serveur.

Détails clés

• La chaîne d'exploitation, nommée Plex2Shell, comprend les CVE-2026-96652, CVE-2026-96654, CVE-2026-96655 et CVE-2026-96656.
• Les correctifs ont été publiés dans Plex Media Server 1.43.3.10861 le 3 août 2026, suite à la divulgation du 27 juillet 2026.
• L'exploitation active a commencé le 17 octobre 2026, un jour après la publication des détails de la preuve de concept.
• Les attaquants déploient un backdoor Linux nommé "myawesomeproxy" et un processus de minage XMRig appelé "mylovelyminer".
• Le serveur de minage se connecte à "ota.proxystream[.]st", un domaine lié au botnet DDoS AISURU.
• Le backdoor affiche un message indiquant que son exécution implique l'accord pour l'utilisation externe du trafic Internet.

Pourquoi cela compte

Pour les ingénieurs et les administrateurs système gérant des infrastructures auto-hébergées, cet incident souligne le risque grave lié aux retards de correction. Alors que les vulnérabilités ont été corrigées en août, la disponibilité d'une chaîne d'exploitation claire en octobre a déclenché des attaques automatisées immédiates. Cela démontre que la sécurité par obscurité est inefficace dès lors que les détails techniques sont publics. Les services auto-hébergés, souvent perçus comme plus sûrs grâce à leur isolement, deviennent des cibles privilégiées lorsqu'ils exposent des interfaces web complexes sur Internet.

Le déploiement à la fois d'un mineur de cryptomonnaie et d'un backdoor de proxy inverse indique un modèle de menace double. Le mineur consomme des ressources informatiques, pouvant dégrader les performances du service et augmenter les coûts électriques. Plus critique encore, le backdoor "myawesomeproxy" transforme le serveur compromis en nœud pour router du trafic malveillant. Cela peut impliquer le propriétaire du serveur dans d'autres attaques, telles que des campagnes DDoS, et compromettre l'intégrité du réseau au-delà du seul hôte.

La connexion au botnet AISURU suggère une implication criminelle organisée plutôt que des attaques opportunistes de script kiddies. L'utilisation d'infrastructures établies comme "global.relay.proxystream[.]st" indique une opération mature. Pour les fondateurs techniques et les responsables IT, cela souligne la nécessité de politiques de mise à jour rigoureuses et d'une surveillance réseau pour tous les services exposés, et pas seulement les applications destinées aux clients.

Que pouvez-vous faire

• Mettez immédiatement à jour Plex Media Server vers la version 1.43.3.10861 ou ultérieure si ce n'est déjà fait.
• Vérifiez les journaux de votre serveur pour détecter des requêtes POST suspectes vers "/player/timeline" ou une activité inhabituelle sur "/video/:/transcode/universal".
• Surveillez les processus inconnus nommés "mylovelyminer" ou "myawesomeproxy" exécutés sur vos hôtes Linux.
• Bloquez les connexions sortantes vers les IP malveillantes connues telles que 217.60.194[.]116 et les domaines comme "ota.proxystream[.]st".
• Restreignez l'accès à l'interface de votre Plex Media Server en utilisant des pare-feu ou des proxies inverses pour limiter l'exposition aux réseaux non fiables.
• Auditez les autres services auto-hébergés pour des vulnérabilités similaires non corrigées et assurez-vous que les mises à jour automatiques sont activées lorsque cela est possible.