LONDON (IT BOLTWISE) – Angreifer nutzen offenbar eine Kette aus vier Plex-Softwarelücken („Plex2Shell“), um ohne Authentifizierung Code auszuführen und zusätzliche Payloads nachzuladen. Laut Sicherheitsangaben kam es dabei in freier Wildbahn zu Deployments eines Miner-Programms sowie zu einer Linux-Backdoor mit Reverse-Proxy-Funktion. Die Lücken wurden Ende Juli von Zach Main an Plex gemeldet und mit Plex Media Server 1.43.3.10861 am 3. August geschlossen. Für Betreiber heißt das vor allem: sofort aktualisieren, weil die Ausnutzung bereits dokumentiert wurde.
Auf Plex Media Server zielt derzeit eine Angriffskette ab, die mit „Plex2Shell“ bezeichnet wird: Nach veröffentlichten technischen Details soll ein zusammengesetzter Exploit-Vektor gleich mehrere Schwachstellen in einer konkreten Reihenfolge kombinieren. Besonders brisant ist dabei die Aussage, dass sich dadurch auf anfälligen Systemen eine nicht autorisierte Remote Code Execution erreichen lässt – also Code-Ausführung, ohne dass ein Angreifer bereits über das Owner-Token verfügen muss. Solche Kettenangriffe sind in der Praxis häufig gefährlicher als einzelne Lücken, weil sie die einzelnen Teilfehler nur als Bausteine verwenden und so die Eintrittshürde weiter senken.
Technisch betrachtet beginnt die Kette mit einer unauthentifizierten SSRF-Komponente (CVE-2026-96652, CVSS 5,3). Der Kern liegt in einem Server-Side Request Forgery, das über den „/player/timeline“-Endpoint getriggert wird: Das System setzt den Wert eines „protocol“-Parameters in eine programmgesteuert erzeugte Player-URL ein, ohne ihn zu validieren. Damit kann ein Angreifer offenbar eine Zieladresse so auswählen, dass der Plex-Server eine POST-Anfrage an eine frei gewählte Destination ausführt. Das ist der Einstiegspunkt, mit dem sich nachfolgend weitere Bedingungen schaffen lassen, etwa um interne Services oder ungewöhnliche Pfade anzusprechen.
Im zweiten Schritt kommt eine URL-Wert-Manipulation am „searchOne“-Endpoint (CVE-2026-96654, CVSS 6,9) hinzu. Laut Beschreibung erlaubt die „improper neutralization of URL values“ offenbar, dass ein Angreifer andere Plugin-Funktionen aufrufen kann und dabei Parameter übergibt, die wiederum zum Erhalt des Admin-Tokens führen können. Damit wird aus einem reinem Request-Forgery-Start eine Situation, in der sich Kontrolle über Authentifizierungsdaten herstellen lässt. Anschließend folgt ein weiterer SSRF-Fall (CVE-2026-96655, CVSS 5,3), der explizit auch nach Authentifizierung – also nach Besitz des Owner-Tokens – beliebige interne oder externe Adressen ansteuern soll. Als Beispiel wird in der Darstellung eine Angriffs-Host-Quelle genannt, die einen „malicious ELF payload“ bereitstellt; außerdem wird auf den Pfad „/video/: /transcode/universal“ als Auslöser verwiesen.
Den letzten Baustein liefert eine Schwachstelle zur externen Kontrolle von Dateinamen oder Pfaden (CVE-2026-96656, CVSS 8,6). Sie erlaubt es dem Angreifer demnach, das „ELF shared object“ auf einen angreiferbestimmten Pfad im Codecs-Verzeichnis abzulegen und anschließend auszuführen. Kombiniert in der genannten Reihenfolge ergibt sich daraus die gewünschte Wirkung: unauthentifiziertes Remote Code Execution. Parallel taucht in den Angaben auch CVE-2026-96651 (CVSS 7,1) auf, das im Kontext der Offenlegung ebenfalls genannt wird, allerdings ohne dass die technische Beschreibung im vorliegenden Text im Detail aufgeführt wird. Ein solches Vorgehen zeigt, wie wichtig mehrstufige Threat-Modeling-Checks sind: Selbst wenn einzelne Komponenten „nur“ SSRF oder „nur“ URL-Manipulation darstellen, kann die Gesamtkomposition eine vollständige Kompromittierung ermöglichen.
Der zeitliche Ablauf macht die operative Tragweite deutlich. Die beschriebenen Schwachstellen wurden am 27. Juli 2026 an Plex gemeldet und anschließend mit Plex Media Server 1.43.3.10861 am 3. August 2026 gepatcht. Bereits einen Tag nach Veröffentlichung eines PoC – im Bericht wird dafür der 16. Oktober 2026 genannt – wurden demnach Ausnutzungsversuche im Feld beobachtet. Als Beispiel für eine Miner-Payload wird eine Remote-Server-Quelle genannt („217.60.194[.]116“), außerdem werden mehrere IP-Adressen aufgeführt: 91.92.40[.]202, 176.65.139[.]228 und 45.194.92[.]222. Solche Beobachtungen sind für Betreiber ein klares Signal, dass Patches nicht „nur“ präventiv sind, sondern sehr zeitnah umgesetzt werden müssen, bevor sich die Ausnutzung weiter verbreitet.
Was die Angreifer konkret nachladen, geht über reine Kryptomining-Funktionen hinaus. Laut den Angaben wurde die Kette auch eingesetzt, um ein Artefakt namens „myawesomeproxy“ zu verteilen, das in der zugrunde liegenden Auswertung als „stealthy Linux backdoor and reverse proxy“ eingeordnet wird. Beim Start soll eine Meldung erscheinen, die sinngemäß die Nutzung des Internetverkehrs durch externe Instanzen nach Zustimmung suggeriert. Parallel läuft dem Bericht zufolge auch ein XMRig-Prozess („mylovelyminer“) mit Mining-Server „ota.proxystream[.]st.“. Zusätzlich wird ein verwandtes Subdomain („global.relay.proxystream[.]st.“) erwähnt, das im August 2026 mit einem AISURU-DDoS- und Proxyware-Botnetz in Verbindung gebracht worden sein soll. Gleichzeitig bleibt laut Text offen, ob die heute betroffenen Plex-Fälle zwingend aus genau diesen Plex2Shell-Fehlern hervorgehen oder ob es weitere Initialisierungswege gab.
Für die Praxis folgt daraus vor allem eine klare Sicherheitsroutine: Plex-Instanzen sollten unverzüglich aktualisiert werden, weil die Kette technisch darauf ausgelegt ist, sich in den Workflow eines angreifbaren Systems einzuhängen. Der Bericht verweist zudem darauf, dass Plex Nutzer bereits zuvor zur Aktualisierung aufgerufen hatte, nachdem ein Update mehrere – im Text nicht spezifizierte – Sicherheitslücken adressiert hatte. Unklar bleibt, ob die damals adressierten Probleme bereits Teil von Plex2Shell waren; fest steht aber, dass die jetzt konkret genannten CVEs mit dem genannten Patch-Level geschlossen wurden. Unternehmen und Heimanwender sollten außerdem prüfen, ob die betroffenen Hosts ungewöhnliche Mining-Aktivität, ungewöhnliche Netzwerkverbindungen oder neue Prozesse aufweisen und die Plex-Logs entsprechend nach Indikatoren durchsuchen, denn bei Proxy- und Backdoor-Payloads entscheidet oft die schnelle Erkennung darüber, ob Angriffe „nur“ kurzfristig ausfallen oder längerfristig bleiben.
💳 Amazon-Kreditkarte mit 2.000 Euro Limit bestellen!
🔥 Heutige Hot Deals bei Amazon: Bis zu 80% Rabatte!
🎉 Amazon Haul-Store für absolute Schnäppchenjäger!
- ★ 23-stufiges KI-Go-Training – Für Spieler mit Grundkenntnissen der Regeln – Entwickelt als intelligenter Trainingspartner passt sich die KI Spielern von 18K bis 9D an. Ideal für alle, die die Grundregeln bereits beherrschen und ihr Spiel verbessern möchten.
- IHR EMOTIONALER AI-BEGLEITER: Eiliko ist mehr als nur ein Anhänger, es ist ein charismatischer KI-Freund. Mit einem dynamischen LED-Bildschirm, der eine Vielzahl von animierten Gesichtern und Ausdrucksformen anzeigt, reagiert er auf Ihre Interaktionen mit einzigartiger Persönlichkeit und Charme.
- 【MEHR LEBEN FÜR DEINEN SCHREIBTISCH】 Lerne Eilik kennen – deinen kleinen Roboter-Freund mit Persönlichkeit. Mit liebevollen Animationen, ausdrucksstarken Reaktionen und spielerischen Interaktionen bringt Eilik mehr Freude in deinen Alltag. Ob auf dem Schreibtisch, im Büro oder am Nachttisch – Eilik wird schnell zu einem vertrauten Begleiter für besondere Momente.
- 【XL-Größe für gedeihende Pflanzen】Geben Sie Ihren Pflanzen den Raum, den sie verdienen! Unser verbessertes, großes 13,7 cm großes Design bietet Platz für Pflanzen mit einem Durchmesser von bis zu 8,9 cm und damit deutlich mehr Platz für Wurzelwachstum und Pflanzengesundheit im Vergleich zu kleineren, veralteten Modellen. Die Produktabmessungen betragen 13,6 x 13,6 x 13,2 cm und das Gerät wiegt nur 355 g.
- V28 Update - JETZT MIT NEUEN FUNKTIONEN! Als Reaktion auf das Ladeproblem von Loona haben wir das automatische Aufladen 2.0 verbessert. Diese Optimierung hilft Loona, die Ladewege in verschiedenen Szenarien zu erkennen und anzupassen, um die Erfolgsquote beim automatischen Aufladen zu erhöhen. Mobile Hotspots können sich mit Loona verbinden und überwinden WLAN-Einschränkungen, sodass Sie jederzeit und überall mit Loona interagieren können.
- Die besten Bücher rund um KI & Robotik!
- Die besten KI-News kostenlos per eMail erhalten!
- Zur Startseite von IT BOLTWISE® für aktuelle KI-News!
- IT BOLTWISE® kostenlos auf Patreon unterstützen!
- Aktuelle KI-Jobs auf StepStone finden und bewerben!
- Künstliche Intelligenz: Dem Menschen überlegen – wie KI uns rettet und bedroht | Der Neurowissenschaftler, Psychiater und SPIEGEL-Bestsellerautor von »Digitale Demenz«
Du hast einen wertvollen Beitrag oder Kommentar zum Artikel "Plex2Shell: Kettenlücke ermöglicht Miner- und Linux-Proxy-Backdoor" für unsere Leser?
#Sophos
#AmazonPrime
#Bestseller
Es werden alle Kommentare moderiert!
Für eine offene Diskussion behalten wir uns vor, jeden Kommentar zu löschen, der nicht direkt auf das Thema abzielt oder nur den Zweck hat, Leser oder Autoren herabzuwürdigen.
Wir möchten, dass respektvoll miteinander kommuniziert wird, so als ob die Diskussion mit real anwesenden Personen geführt wird. Dies machen wir für den Großteil unserer Leser, der sachlich und konstruktiv über ein Thema sprechen möchte.
Du willst nichts verpassen?
Du möchtest über ähnliche News und Beiträge wie "Plex2Shell: Kettenlücke ermöglicht Miner- und Linux-Proxy-Backdoor" informiert werden? Neben der E-Mail-Benachrichtigung habt ihr auch die Möglichkeit, den Feed dieses Beitrags zu abonnieren. Wer natürlich alles lesen möchte, der sollte den RSS-Hauptfeed oder IT BOLTWISE® bei Google News wie auch bei Bing News abonnieren.
Nutze die Google-Suchmaschine für eine weitere Themenrecherche: »Plex2Shell: Kettenlücke ermöglicht Miner- und Linux-Proxy-Backdoor« bei Google Deutschland suchen, bei Bing oder Google News!