LONDON (IT BOLTWISE) – Plex hat eine Sicherheitslücke geschlossen, die ohne Login eine kritische Remote-Code-Execution-Kette in Plex Media Server ermöglicht. Angreifer nutzten offenbar genau diese Kette, um am Wochenende einen Crypto-Miner sowie eine Residential-Proxy-Software nachzuladen. Betroffene Server laufen dann weiter gefährdet, weil die Schadsoftware bei jedem Transcoding erneut startet. Parallel zeigt Shadowserver weiterhin zehntausende exponierte Plex-Installationen weltweit.
Wenn ein Media-Server zu einem Relay für fremde Aktivitäten wird, beginnt der Schaden meist leise: ein neuer Prozess, erhöhte CPU-Last, ungewöhnlicher Traffic zu externen Systemen. Genau in diese Kategorie fällt die jetzt bekannt gewordene Angriffsserie rund um Plex Media Server, bei der eine veröffentlichte Schwachstellenkette als „Plex2Shell“ beschrieben wird. Im Kern geht es um eine nicht authentifizierte Möglichkeit zur Ausführung beliebigen Codes, die bereits mit einer extern erreichbaren Plex-Instanz ausreicht. Damit kippt das klassische „hobbytaugliche Streaming-Setup“ in ein Sicherheitsproblem, das sowohl für Privatanwender als auch für kleine Medienbibliotheken in Unternehmen relevant wird.
Technisch betrachtet setzt die Kette nicht auf einen kompromittierten Account, sondern auf das Abgreifen eines Admin-Tokens, obwohl ein Angreifer sich nicht mit echten Anmeldedaten verifizieren muss. Anschließend wird eine bösartige Komponente so platziert, dass sie bei jedem Video-Transcoding erneut aktiv wird. Der veröffentlichte Ablauf verbindet dabei vier einzeln verfolgte Schwachstellen, die als CVE-2026-96652, CVE-2026-96654, CVE-2026-96655 und CVE-2026-96656 geführt werden. Betroffen sind Plex-Server vor der Version 1.43.3.10861; wer darüber hinausgeht, schaltet die Angriffskette ab, aber eben nicht automatisch jede bereits installierte Payload, solange sie im Dateipfad des Transcoding-Workflows verankert bleibt.
Für die praktische Bedrohung entscheidend ist die Kombination aus Erstzugriff und Persistenz über den Transcoding-Mechanismus. Ein öffentlich beschriebenes Honeypot-Setup zeigt, dass Angreifer nach dem Wochenendeinschlag nicht bei „nur“ einem Testpayload stehenblieben. Als erste Ladung wurde ein Crypto-Miner gemeldet, danach zusätzlich ein Tool, das als Residential Proxy eingesetzt wird. Ein Residential Proxy zielt darauf ab, den eigenen IP-Adresshintergrund zu verschleiern, indem Traffic über den Anschluss eines Opfers „so aussieht“, als stamme er aus einem normalen Wohnumfeld. Das ist für Angreifer vor allem dann nützlich, wenn sie Sperren umgehen oder Auswertungslogiken umgehen wollen, die Datenverkehr nach Herkunftsmustern bewerten.
Dass Plex das Problem bereits in einem engen Zeitfenster adressiert hatte, macht die Lage für Administratoren dennoch nicht automatisch entspannter. Laut dem beschriebenen Ablauf meldete der Sicherheitsforscher die Schwachstellen am 27. Juli an Plex, Plex habe am 4. August einen Bug-Bounty in Höhe von 500 US-Dollar gezahlt und am selben Tag ein gepatchtes Build öffentlich zum Download gestellt. Eine nachgelagerte öffentliche Advisory folgte am 1. September; dabei richtete Plex die Empfehlung ausdrücklich auf ein Update „as soon as possible“ und verwies für Windows und macOS auf eine optionale automatische Aktualisierung. Gleichzeitig blieb die Hürde im Alltag bestehen: Nicht jede Plattform profitiert von demselben „Push“-Mechanismus, etwa wenn Linux-Installationen, Docker-Setups oder NAS-Umgebungen von Paketquellen, Container-Restarts oder manuellen Downloads abhängen.
Auch die Messlage unterstreicht, dass viele Instanzen offenbar nicht rechtzeitig aktualisiert wurden. Shadowserver-Daten für Hosts, die als „vulnerable-plex“ getaggt sind, zeigten zum genannten Zeitpunkt fast 49.000 noch exponierte Systeme, davon rund 25.100 in Nordamerika und etwa 17.600 in Europa. Diese Zahl ist besonders relevant, weil Plex in vielen Haushalten und Nebenstandorten als dauerhaft laufender Dienst betrieben wird und damit die Angriffsfläche über Wochen bestehen kann. Hinzu kommt die Persistenz: Selbst wenn der Miner entfernt wird, kann die Proxy- oder Miner-Komponente im Codecs-Ordner weiter aktiv bleiben, sobald erneut transcodiert wird. Genau das wird in dem Kontext auch durch einen Security-Kommentar eines Krypta- und Incident-Response-nahen Unternehmensführers betont, der darauf hinweist, dass das Stoppen des Miners allein nicht zwangsläufig die vollständige Bedrohung beendet.
Historisch zeigt sich zudem, dass Plex-Security-Vorfälle kein Einzelfall waren. 2025 wurden Nutzer etwa aufgefordert, Passwörter zu ändern, nachdem eine unautorisierte Partei auf E-Mails, Benutzernamen und gehashte Passwörter zugreifen konnte. Ein Jahr zuvor gab es zudem Bug-Bounty-getriebene Hinweise zu einer anderen Schwachstelle, die Plex mit Updates adressierte. In einem früheren Schritt ging Plex sogar so weit, den Netzwerkzugriff anderer Nutzer auf betroffene Server einzuschränken, während die betroffene Version aktiv war. Für den Zeitraum, in dem Plex2Shell öffentlich wurde, wird jedoch beschrieben, dass eine vergleichbare Zugriffsbeschränkung nicht im gleichen Umfang nachgezogen wurde. Das ist organisatorisch wichtig: Bei großen, heterogenen Installationslandschaften entscheidet nicht nur das Patchen, sondern auch, ob kurzfristige „Containment“-Maßnahmen die Angriffszeitfenster verkürzen.
Für Unternehmen und technisch versierte Heimanwender ergibt sich daraus eine klare Prioritätensetzung: Erstens müssen Plex-Server auf die betroffene Version 1.43.3.10861 oder neuer gebracht werden; zweitens sollte geprüft werden, ob bereits ungewollte Artefakte in Plex-typischen Ausführungsbereichen existieren und ob die Transcoding-Pipeline nachträglich bereinigt ist. Drittens lohnt es sich, die eigene Netzexponierung zu überprüfen: Ein Media-Server, der direkt aus dem Internet erreichbar ist, bekommt selbst dann Druck, wenn die Nutzeroberfläche „nur Streaming“ verspricht. Und viertens zeigt der Einsatz eines Residential Proxys, dass Angriffe nicht nur Rechenzeit stehlen, sondern auch Infrastruktur für weitere Angriffsphasen bereitstellen. In Zeiten, in denen KI-gestützte Automatisierung in der Angreifer-Toolchain zunehmend Standard wird, wird genau diese Art von leicht verfügbaren Einstiegspunkten besonders wertvoll.
💳 Amazon-Kreditkarte mit 2.000 Euro Limit bestellen!
🔥 Heutige Hot Deals bei Amazon: Bis zu 80% Rabatte!
🎉 Amazon Haul-Store für absolute Schnäppchenjäger!
- ★ 23-stufiges KI-Go-Training – Für Spieler mit Grundkenntnissen der Regeln – Entwickelt als intelligenter Trainingspartner passt sich die KI Spielern von 18K bis 9D an. Ideal für alle, die die Grundregeln bereits beherrschen und ihr Spiel verbessern möchten.
- IHR EMOTIONALER AI-BEGLEITER: Eiliko ist mehr als nur ein Anhänger, es ist ein charismatischer KI-Freund. Mit einem dynamischen LED-Bildschirm, der eine Vielzahl von animierten Gesichtern und Ausdrucksformen anzeigt, reagiert er auf Ihre Interaktionen mit einzigartiger Persönlichkeit und Charme.
- 【MEHR LEBEN FÜR DEINEN SCHREIBTISCH】 Lerne Eilik kennen – deinen kleinen Roboter-Freund mit Persönlichkeit. Mit liebevollen Animationen, ausdrucksstarken Reaktionen und spielerischen Interaktionen bringt Eilik mehr Freude in deinen Alltag. Ob auf dem Schreibtisch, im Büro oder am Nachttisch – Eilik wird schnell zu einem vertrauten Begleiter für besondere Momente.
- 【XL-Größe für gedeihende Pflanzen】Geben Sie Ihren Pflanzen den Raum, den sie verdienen! Unser verbessertes, großes 13,7 cm großes Design bietet Platz für Pflanzen mit einem Durchmesser von bis zu 8,9 cm und damit deutlich mehr Platz für Wurzelwachstum und Pflanzengesundheit im Vergleich zu kleineren, veralteten Modellen. Die Produktabmessungen betragen 13,6 x 13,6 x 13,2 cm und das Gerät wiegt nur 355 g.
- V28 Update - JETZT MIT NEUEN FUNKTIONEN! Als Reaktion auf das Ladeproblem von Loona haben wir das automatische Aufladen 2.0 verbessert. Diese Optimierung hilft Loona, die Ladewege in verschiedenen Szenarien zu erkennen und anzupassen, um die Erfolgsquote beim automatischen Aufladen zu erhöhen. Mobile Hotspots können sich mit Loona verbinden und überwinden WLAN-Einschränkungen, sodass Sie jederzeit und überall mit Loona interagieren können.
- Die besten Bücher rund um KI & Robotik!
- Die besten KI-News kostenlos per eMail erhalten!
- Zur Startseite von IT BOLTWISE® für aktuelle KI-News!
- IT BOLTWISE® kostenlos auf Patreon unterstützen!
- Aktuelle KI-Jobs auf StepStone finden und bewerben!
- Künstliche Intelligenz: Dem Menschen überlegen – wie KI uns rettet und bedroht | Der Neurowissenschaftler, Psychiater und SPIEGEL-Bestsellerautor von »Digitale Demenz«
Du hast einen wertvollen Beitrag oder Kommentar zum Artikel "Plex2Shell: Unauthentifizierte KI-geeignete RCE-Kette nutzt Crypto-Miner und Proxy" für unsere Leser?
#Sophos
#AmazonPrime
#Bestseller
Es werden alle Kommentare moderiert!
Für eine offene Diskussion behalten wir uns vor, jeden Kommentar zu löschen, der nicht direkt auf das Thema abzielt oder nur den Zweck hat, Leser oder Autoren herabzuwürdigen.
Wir möchten, dass respektvoll miteinander kommuniziert wird, so als ob die Diskussion mit real anwesenden Personen geführt wird. Dies machen wir für den Großteil unserer Leser, der sachlich und konstruktiv über ein Thema sprechen möchte.
Du willst nichts verpassen?
Du möchtest über ähnliche News und Beiträge wie "Plex2Shell: Unauthentifizierte KI-geeignete RCE-Kette nutzt Crypto-Miner und Proxy" informiert werden? Neben der E-Mail-Benachrichtigung habt ihr auch die Möglichkeit, den Feed dieses Beitrags zu abonnieren. Wer natürlich alles lesen möchte, der sollte den RSS-Hauptfeed oder IT BOLTWISE® bei Google News wie auch bei Bing News abonnieren.
Nutze die Google-Suchmaschine für eine weitere Themenrecherche: »Plex2Shell: Unauthentifizierte KI-geeignete RCE-Kette nutzt Crypto-Miner und Proxy« bei Google Deutschland suchen, bei Bing oder Google News!