Auf die Angriffe hingewiesen hat ein Forscher, der unter dem Pseudonym boredhackerblog auftritt. Demnach werden vier Schwachstellen hintereinander verkettet:

  • CVE-2026-96652 (CVSS 5.3) – nicht authentifizierte Server-Side Request Forgery über den Endpunkt “/player/timeline”: Der Parameter “protocol” wird ohne Prüfung in eine programmatisch erzeugte Player-URL eingesetzt, sodass ein Angreifer den Plex-Server zu einem POST an ein Ziel seiner Wahl zwingen kann.
  • CVE-2026-96654 (CVSS 6.9) – unzureichende Neutralisierung von URL-Werten im Endpunkt “searchOne”. Darüber lassen sich Funktionen anderer Plugins mit eigenen Parametern aufrufen und das Admin-Token des Eigentümers erbeuten.
  • CVE-2026-96655 (CVSS 5.3) – eine SSRF-Lücke, über die ein authentifizierter Nutzer, also der Inhaber des Owner-Tokens, beliebige interne oder externe Adressen über den Pfadparameter ‘/video/:/transcode/universal’ anfragen kann – etwa ein vom Angreifer gehostetes Trägervideo mit einer bösartigen ELF-Nutzlast.
  • CVE-2026-96656 (CVSS 8.6) – externe Kontrolle über Dateiname oder Pfad: Das ELF-Shared-Object lässt sich an einen vom Angreifer gewählten Pfad im Codecs-Verzeichnis ablegen und ausführen.

In dieser Reihenfolge kombiniert ergibt sich eine nicht authentifizierte Remote-Code-Execution auf anfälligen Plex-Media-Server-Instanzen.

Die Lücken wurden zusammen mit CVE-2026-96651 (CVSS 7.1) am 27. Juli 2026 vom Sicherheitsforscher Zach Main an Plex gemeldet. Behoben sind sie in Plex Media Server 1.43.3.10861, veröffentlicht am 3. August 2026. Nachdem die technischen Details zur Plex2Shell-Kette am 16. Oktober 2026 öffentlich wurden, wurden einen Tag später die ersten Ausnutzungsversuche in freier Wildbahn registriert.

Bei den Angriffen wird eine Miner-Nutzlast von einem entfernten Server unter 217.60.194[.]116 nachgeladen. Die Versuche gingen von folgenden IP-Adressen aus:

  • 91.92.40[.]202
  • 176.65.139[.]228
  • 45.194.92[.]222

Zusätzlich wird über die Schwachstellen eine Datei namens “myawesomeproxy” ausgeliefert. Nach Einstufung bei VirusTotal handelt es sich dabei um eine unauffällige Linux-Backdoor mit Reverse-Proxy-Funktion. Beim Start zeigt das Programm laut boredhackerblog folgende Meldung an: “Wenn Sie diese Software auf einem Ihrer Geräte ausführen, stimmen Sie der möglichen externen Nutzung Ihres Internetverkehrs zu.”

Parallel dazu wird ein XMRig-Miner-Prozess unter dem Namen “mylovelyminer” eingerichtet, dessen Mining-Server auf “ota.proxystream[.]st” verweist. Eine weitere Subdomain derselben Domain, “global.relay.proxystream[.]st”, war im August 2026 von Bitsight im Zusammenhang mit dem AISURU-Botnet für DDoS und Proxyware benannt worden.

Beiträge auf Reddit deuten darauf hin, dass mehrere Plex-Nutzer kompromittierte Instanzen mit derselben “mylovelyminer”-Nutzlast vorgefunden haben. Ob dies auf die Ausnutzung der Plex2Shell-Lücken zurückgeht, ist bislang offen.

Plex hatte Anwender bereits vor mehr als einem Monat aufgefordert, ihre Instanzen auf die aktuelle Version zu aktualisieren, nachdem ein Update mehrere nicht näher bezeichnete Sicherheitsprobleme behoben hatte. Ob die hier beschriebenen Schwachstellen Teil dieser Warnung waren, ist unklar. Eine Anfrage an Plex blieb zunächst unbeantwortet. Angesichts der aktiven Ausnutzung sollten Plex-Installationen auf dem aktuellen Stand gehalten werden.