Plex Media Server, catena Plex2Shell: quattro CVE fino all'esecuzione di codice senza credenziali, server trasformati in miner e proxy
Plex2Shell, la catena di quattro vulnerabilità di Plex Media Server che consente a un attaccante remoto, senza credenziali valide, di eseguire codice con i privilegi del servizio, è sfruttata in rete contro i server esposti su internet e non aggiornati: il 19 ottobre 2026 Plex ha aggiornato il proprio advisory per confermare attacchi attivi e diffusi. Sono le CVE-2026-96652, CVE-2026-96654, CVE-2026-96655 e CVE-2026-96656, con punteggi CVSS v3.1 compresi fra 4.3 e 7.2, e il 20 ottobre, lo stesso giorno dell'alert di ACN, la CISA le ha inserite tutte e quattro nel catalogo KEV. L'ingresso è una server-side request forgery (SSRF) nell'endpoint della timeline del player, usato dal protocollo Companion, che si raggiunge con un header X-Plex-Token di valore qualsiasi, perché il server si limita a controllare che l'header ci sia: da lì l'attaccante fa partire dal server stesso, attraverso l'interfaccia di loopback, richieste verso l'API interna degli agent, che da quella posizione non chiede alcun token; tramite questa API richiama funzioni dei plugin installati e si fa spedire il token amministrativo del proprietario. Con quel token chiede una transcodifica che scarica da un suo sistema un video costruito ad arte e, agendo sulle opzioni del transcoder nella preferenza TranscoderH264Options, ne fa scrivere i fotogrammi sotto forma di libreria condivisa nella cartella Codecs; alla transcodifica successiva Plex carica la libreria senza verificarne firma e permessi, e il codice dell'attaccante parte. L'ultimo anello, la CVE-2026-96656, ha da solo un CVSS di 7.2 che, come indica ACN, sale a 9.8 quando chiude la catena, lo stesso valore che lo scopritore delle falle attribuisce all'attacco completo. Presi uno per uno, nessuno dei quattro difetti arriva alla soglia critica; messi in fila, danno a chiunque raggiunga il server l'esecuzione di codice.
Le vulnerabilità le ha scoperte il ricercatore Zach Main, che le ha segnalate a Plex il 27 luglio. La build correttiva 1.43.3.10861 è uscita per tutti il 4 agosto, lo stesso giorno in cui Plex ha riconosciuto il problema e pagato la ricompensa al ricercatore, mentre l'advisory del 1° settembre, senza dettagli tecnici né CVE, invitava a passare alla «1.43.3 o successiva»: un'indicazione che da sola non bastava, perché la build 1.43.3.10828 è ancora vulnerabile. Le CVE sono state assegnate il 23 settembre. Il 16 ottobre Zach Main ha pubblicato l'analisi tecnica che dà il nome alla catena, e secondo Plex nello stesso giorno è uscito anche il codice dimostrativo; il giorno dopo, riporta Censys, un honeypot ha registrato il primo sfruttamento in rete. Plex riferisce che i server compromessi vengono usati per far girare miner di criptovalute e software proxy che instradano il traffico di altri attraverso la connessione della vittima. Per le agenzie federali statunitensi la CISA ha fissato il termine di remediation al 23 ottobre per la CVE-2026-96654 e la CVE-2026-96656, per quest'ultima con l'obbligo di un triage forense, e al 3 novembre per le altre due. Secondo i dati di Censys del 20 ottobre, i server Plex esposti su internet sono circa 324.000 e intorno al 30% di questi gira su build vulnerabili, quasi 8.000 proprio sulla 1.43.3.10828; nei tre giorni successivi alla pubblicazione della catena si è aggiornato meno del 2% degli host ancora vulnerabili. Lo schema ricorda quello visto in un nostro precedente alert del 5 ottobre sulla CVE-2026-73570 di Zimbra: una correzione disponibile da tempo, server rimasti indietro e trasformati, fra l'altro, in miner di criptovalute, allora anche in organizzazioni italiane. Qui la patch c'era da più di due mesi e l'advisory da oltre sei settimane, eppure è bastato un giorno dalla pubblicazione dei dettagli tecnici perché comparissero i primi attacchi.
Plex Media Server è un software da casa e da piccolo ufficio, e per enti e aziende il rischio passa soprattutto dalle reti domestiche di chi lavora da remoto. Plex chiede di considerare potenzialmente esposto tutto ciò che l'account di servizio del media server poteva raggiungere, come le condivisioni montate e le credenziali salvate sulla stessa macchina o sulla stessa VM. Nel 2022, nella seconda fase dell'attacco a LastPass, il computer di casa di uno dei quattro ingegneri DevOps dell'azienda fu violato attraverso un Plex Media Server non aggiornato, vulnerabile alla CVE-2020-5741, e vi fu installato un keylogger che servì a rubare le credenziali di accesso all'ambiente di cloud storage aziendale; Plex dichiarò allora a The Hacker News che la versione correttiva era uscita «circa 75 versioni prima». In più, un server di casa usato come proxy presta il proprio indirizzo IP al traffico di sconosciuti. A doversene preoccupare è prima di tutto chi ha un Plex Media Server precedente alla 1.43.3.10861 raggiungibile da internet, con l'accesso remoto attivo o la porta 32400 inoltrata dal router: per Plex va considerato potenzialmente compromesso. Poi chi lo fa girare su NAS, Linux o Docker, dove l'aggiornamento non è automatico e sui NAS il pacchetto del produttore può arrivare in ritardo; chi su Windows o macOS ha disattivato l'aggiornamento automatico; chi dopo l'advisory di settembre si è fermato a una build 1.43.3 precedente alla 10861, convinto di essere a posto; e le piccole realtà, come associazioni e studi professionali, che usano Plex come archivio multimediale condiviso. Per gli enti conviene far arrivare l'avviso a chi lavora da casa, in particolare a chi tiene il media server sullo stesso computer o sulla stessa rete del portatile di lavoro.
- Versioni affette: Plex Media Server precedenti alla 1.43.3.10861 su tutte le piattaforme (Windows, macOS, Linux, Docker e pacchetti per NAS), comprese le build della serie 1.43.3 che la precedono, come la 1.43.3.10828. Sono corrette la 1.43.3.10861, disponibile dal 4 agosto, e le successive.
- Azione raccomandata: verificare il numero di build completo del server e aggiornare alla 1.43.3.10861 o successive; su Linux, Docker e NAS aggiornare a mano e, se il gestore di pacchetti del NAS non propone ancora la nuova versione, installare manualmente il pacchetto fornito da Plex; su Windows e macOS controllare che l'aggiornamento automatico sia attivo; se il server era raggiungibile da internet con una build precedente, considerarlo potenzialmente compromesso e cercare processi avviati da Plex che non si riconoscono (in particolare myawesomeproxy, mylovelyminer o x12345), file .so o .dll sconosciuti nella cartella Codecs, connessioni verso proxystream.st e un uso elevato della CPU senza riproduzioni in corso; ricostruire il server da un'installazione pulita senza riutilizzare la vecchia cartella dei dati di Plex oppure, come minimo, svuotare la cartella Codecs e controllare in Preferences.xml che non ci siano opzioni del transcoder impostate da altri; disconnettere tutti i dispositivi dalle impostazioni dell'account Plex e cambiare la password; trattare come esposto tutto ciò che l'account di servizio di Plex poteva raggiungere, dalle condivisioni montate alle credenziali salvate sulla stessa macchina o VM, e cambiare quelle credenziali; disattivare l'accesso remoto se non serve ed evitare l'inoltro diretto della porta 32400; per gli enti, sensibilizzare il personale in lavoro agile sull'aggiornamento dei server multimediali domestici e sulla loro separazione dai dispositivi di lavoro.