Plex2Shell zinciri, PoC'nin yayımlanmasından bir gün sonra güncellenmemiş Plex sunucularını vurdu

Plex Media Server'daki dört açıktan oluşan ve internete açık sunucularda geçerli kimlik bilgisi olmadan kod çalıştırmaya imkân veren Plex2Shell zinciri saldırılarda kullanılmaya başlandı. SecurityWeek'in 19 Ekim'de aktardığına göre istismar, açıkları bulan araştırmacının teknik yazısını ve kavram kanıtı (PoC) kodunu yayımlamasından yalnızca bir gün sonra, 17 Ekim'de tespit edildi. Plex düzeltmeleri eylül başında yayımladığı için saldırılar güncellenmemiş sunucuları hedef alıyor.

Neler oldu?

SecurityWeek'e göre zincir CVE-2026-96652, CVE-2026-96654, CVE-2026-96655 ve CVE-2026-96656 kimlikli açıklardan oluşuyor. Bu hatalar birlikte kullanıldığında saldırgan, internete açık bir Plex Media Server üzerinde Plex hizmetiyle aynı yetkilerle istediği kodu çalıştırabiliyor.

Yayının aktardığı zaman çizelgesine göre araştırmacı açıkları 27 Temmuz'da Plex'e bildirdi, Plex 4 Ağustos'ta sorunları doğrulayıp hata ödülü verdi ve 1 Eylül'de düzeltmeleri duyurarak sunucu sahiplerinden güncelleme yapmalarını istedi. Teknik yazı ve PoC ise 16 Ekim'de yayımlandı.

Savunmasız bir sürümle internete açık bir Plex bal küpü işleten başka bir araştırmacı, SecurityWeek'e sistemin 17 Ekim sabahına kadar çoğunlukla keşif taramaları ve genel saldırı denemeleri aldığını, o sabah ise gerçek istismarın başladığını söyledi. Saldırganların yayımlanan istismar kodunu, muhtemelen bazı değişikliklerle kullandığı değerlendiriliyor.

Teknik detaylar

SecurityWeek'in aktardığına göre saldırganlar bal küpüne önce XMRig tabanlı bir kripto para madencisi yükledi. Aynı gün ilerleyen saatlerde ise myawesomeproxy adlı bir vekil sunucu programı ortaya çıktı. Bu araç, kullanıcıların internet trafiğinin kullanılabileceğini kabul ettiğine dair bir bildirim gösteriyor.

Araştırmacı, vekil sunucu bileşeninin madenciden daha tehlikeli olabileceği uyarısında bulundu. Pek çok Plex sunucusu ev bağlantılarında çalıştığından, ele geçirilen bir sunucu saldırganlara konut IP adresi sağlayabiliyor. Bu tür adresler, kurumsal VPN ve e-posta hizmetlerine şüphe uyandırmadan erişmek isteyen tehdit aktörleri için değerli. Araştırmacı ayrıca paylaşılan saldırı göstergelerinin yalnızca tek bir bal küpünde görülenleri yansıttığını, başka saldırganların farklı yükler kullanıyor olabileceğini vurguladı.

Kimler etkileniyor?

Plex'in 1 Eylül'de forumlarında yayımladığı güvenlik duyurusuna göre Plex Media Server v1.43.2 ve önceki sürümler etkileniyor; düzeltmeler Plex Media Server 1.43.3'te, ilgili bir düzeltme ise Plex Desktop 1.115.0'da yer alıyor. Çalışan bir istismar kodu artık herkese açık olduğundan, güncellemeyi almamış ve internete açık sunucular en yüksek risk altında.

Ne yapmalı?

Plex, tüm sunucu sahiplerine vakit kaybetmeden Plex Media Server 1.43.3 veya daha yeni bir sürüme geçmelerini tavsiye ediyor. Otomatik güncellemesi açık olan kullanıcıların da kurulu sürümü kontrol etmesi gerekiyor. Plex, paket yöneticileri geriden gelebileceği için NAS kullanıcılarının paketi elle kurması gerekebileceğini belirtiyor.

Yöneticilerin savunmasız sürüm çalıştırmış sunucuları ele geçirilme belirtileri açısından da incelemesi önerilir: madencilik kaynaklı beklenmedik işlemci kullanımı, myawesomeproxy gibi tanınmayan işlemler veya olağan dışı dış bağlantılar bunların başında geliyor. Plex yönetim arayüzünün internete doğrudan açılmasını sınırlamak da saldırı yüzeyini daraltır.