Plex2Shell エクスプロイトチェーンにより、メディアサーバーでの未認証リモートコード実行が可能に

脅威アクターは、暗号通貨マイナーやリバースプロキシソフトウェアを展開するために、Plex Media Server の重大な脆弱性チェーンのエクスプロイトを開始しました。この積極的な悪用は、Plex2Shell と呼ばれるエクスプロイトチェーンの技術詳細と概念実証（PoC）コードが2026年10月16日に公開された直後に始まりました。

何が起きたか

セキュリティ研究者の Zach Main は、2026年7月27日に5つの脆弱性を Plex に開示しました。同社は、Plex2Shell と総称されるそのうち4つについて、2026年8月3日リリースの Plex Media Server バージョン 1.43.3.10861 で対応しました。5番目の脆弱性である CVE-2026-96651 も開示の一部でしたが、ここで説明する主要なエクスプロイトチェーンには含まれていません。

パッチが提供されてから2か月以上経過していましたが、boredhackerblog という別名を持つ研究者がこれらの欠陥をチェーン化する方法に関する技術的解説を2026年10月16日に公開した後、積極的な悪用が急増しました。24時間以内に、実際の環境での攻撃が記録されました。これらの攻撃は、パッチ適用済みバージョンに更新されていない脆弱なインスタンスを標的としています。

この悪用により、リモートサーバーからの悪意あるペイロードの展開が発生しており、特に IP アドレス 217.60.194[.]116 が使用されています。攻撃トラフィックは、91.92.40[.]202、176.65.139[.]228、45.194.92[.]222 など複数の IP アドレスから観測されています。目的は単純なデータ窃盗やランサムウェアではなく、リソースのハイジャックとネットワークへの浸透にあるようです。

仕組み

Plex2Shell エクスプロイトチェーンは、4つの異なる脆弱性を組み合わせることで、未認証のリモートコード実行を実現します。プロセスは、未認証のサーバーサイドリクエストフォージェリ（SSRF）欠陥である CVE-2026-96652 から始まります。この脆弱性は「/player/timeline」エンドポイントに存在し、「protocol」パラメータが検証なしに URL に挿入されます。これにより、攻撃者は Plex サーバーに対して任意の宛先へ POST リクエストを送信させることができます。

次に、攻撃者は「searchOne」エンドポイントにおける URL 値の不適切な無効化に関わる CVE-2026-96654 を利用します。この欠陥により、攻撃者は他のプラグインの関数を呼び出し、カスタムパラメータを提供することが可能になります。これにより、所有者の管理者トークンを取得し、権限を未認証状態から認証済み管理者ステータスへと昇格させます。

管理者トークンを確保した攻撃者は、別の SSRF 脆弱性である CVE-2026-96655 を使用します。この欠陥により、認証済みユーザーは「/video/:/transcode/universal」パスを通じて任意の内部または外部アドレスへのリクエストを行うことができます。攻撃者これを利用して、キャリアビデオに変装した外部サーバー上にホストされている悪意ある ELF ペイロードを取得します。最後に、ファイル名またはパスに対する外部制御の脆弱性である CVE-2026-96656 により、攻撃者はこの ELF シェアードオブジェクトを Codecs ディレクトリの特定のパスに書き込み、実行することができます。この最終ステップにより、攻撃者はサーバー上で完全なリモートコード実行権限を得ます。

主要な詳細

• Plex2Shell と名付けられたエクスプロイトチェーンは、CVE-2026-96652、CVE-2026-96654、CVE-2026-96655、および CVE-2026-96656 で構成されています。
• パッチは、2026年7月27日の開示を受け、2026年8月3日に Plex Media Server 1.43.3.10861 でリリースされました。
• 積極的な悪用は、概念実証の詳細が公開された翌日である2026年10月17日に始まりました。
• 攻撃者は「myawesomeproxy」という名前の Linux バックドアと、「mylovelyminer」と呼ばれる XMRig マイナープロセスを展開します。
• マイニングサーバーは、AISURU DDoS ボットネットに関連するドメイン「ota.proxystream[.]st」に接続します。
• バックドアは、実行することでインターネットトラフィックの外部利用に同意したことになるというメッセージを表示します。

なぜ重要なのか

セルフホスト型インフラストラクチャを管理するエンジニアやシステム管理者にとって、この事案はパッチ適用の遅延に伴う深刻なリスクを浮き彫りにしています。脆弱性は8月に修正されましたが、10月に明確なエクスプロイトチェーンが利用可能になったことで、即座に自動化された攻撃が発生しました。これは、技術詳細が公開されると「隠蔽によるセキュリティ」が無効であることを示しています。分離されているため安全だと認識されがちなセルフホスト型サービスも、複雑な Web インターフェースをインターネットに公開している場合、格好の標的となります。

暗号通貨マイナーとリバースプロキシバックドアの両方の展開は、二重の脅威モデルを示唆しています。マイナーは計算リソースを消費し、サービス性能の低下や電気代増加を引き起こす可能性があります。より重大なのは、「myawesomeproxy」バックドアが侵害されたサーバーを悪意あるトラフィックをルーティングするためのノードに変えてしまうことです。これにより、DDoS キャンペーンなどのさらなる攻撃においてサーバーオーナーが関与していると見なされたり、単一のホストを超えたネットワーク整合性が損なわれたりする可能性があります。

AISURU ボットネットとの関連性は、機会的なスクリプトキディではなく、組織的な犯罪行為の関与を示唆しています。「global.relay.proxystream[.]st」のような確立されたインフラの使用は、成熟した運営体制を示しています。技術系創業者や IT リードにとって、これは顧客向けアプリケーションだけでなく、すべての公開サービスに対して厳格なアップデートポリシーとネットワーク監視が必要であることを強調しています。

対処法

• まだ行っていない場合は、直ちに Plex Media Server をバージョン 1.43.3.10861 以降に更新してください。
• 「/player/timeline」への不審な POST リクエストや、「/video/:/transcode/universal」上の異常な活動がないか、サーバーログを確認してください。
• Linux ホスト上で「mylovelyminer」や「myawesomeproxy」という名前の未知のプロセスが実行されていないか監視してください。
• 既知の悪意ある IP アドレス（217.60.194[.]116 など）やドメイン（「ota.proxystream[.]st」など）へのアウトバウンド接続をブロックしてください。
• ファイアウォールやリバースプロキシを使用して Plex Media Server インターフェースへのアクセスを制限し、信頼できないネットワークへの露出を低減してください。
• 他のセルフホスト型サービスについても同様の未修正脆弱性を監査し、可能な限り自動アップデートを有効にしてください。