Keamanan · 22 Oktober 2026
Serangan aktif mengeksploitasi kerentanan server media Plex untuk menginstal malware
Peneliti melaporkan bahwa kerentanan yang baru saja diperbaiki pada server media Plex sedang dieksploitasi secara aktif dalam serangan yang, jika berhasil, menginstal malware, termasuk penambang kripto dan aplikasi proksi residensial. Serangan ini menargetkan perangkat yang menjalankan versi server media yang rentan terhadap eksekusi kode jarak jauh.
Plex memperbaiki empat kerentanan pada awal bulan lalu. Tiga minggu kemudian, penunjukan CVE yang diterbitkan mengungkapkan lima kerentanan, dengan salah satunya membawa peringkat tingkat keparahan 8,6 dari 10. Seorang peneliti minggu lalu mengungkapkan eksploitasi yang merantai empat di antaranya bersama untuk mencapai eksekusi kode jarak jauh pada perangkat yang menjalankan versi Plex yang rentan. Peneliti tersebut menamai rantai tersebut Plex2Shell. Rantai eksploitasi yang diterbitkan merupakan bagian dari serangan konsep bukti yang disertakan peneliti pertama saat mengirimkan laporan bug ke Plex.
Detail baru tersebut memungkinkan peneliti terpisah untuk membuat honeypot yang dapat melacak upaya di alam liar untuk mengeksploitasi rantai kerentanan tersebut. Dalam sehari, peneliti tersebut mulai melihat pemindaian aktif pada server media Plex yang disimulasikan dan akhirnya upaya berhasil untuk menginfeksi perangkat. Sejauh ini, serangan yang berhasil menginstal dua beban kerja. Salah satunya adalah penambang kripto, yang menggunakan perangkat untuk menambang mata uang kripto dan mendepositokannya ke dompet yang dikendalikan oleh penyerang. Beban kerja lainnya adalah perangkat lunak proksi residensial, yang memungkinkan orang untuk menganonimkan aktivitas internet mereka, sebagian besar ilegal, dengan terhubung ke kotak yang terinfeksi dan kemudian menggunakannya untuk mengirim lalu lintas pengguna ke tujuan akhir.
Penulis kedua menyatakan bahwa Plex mungkin dihosting pada alamat IP residensial dan ia berpikir aktor ancaman akan sangat menginginkan proksi IP residensial untuk mengakses jaringan pribadi virtual perusahaan dan surel. Kode kompleks menyelesaikan serangkaian langkah, termasuk melakukan SSRF tidak terautentikasi, pivot loopback, pencurian token keamanan, pengiriman beban kerja, dan akhirnya eksekusi beban kerja. Penemu bug mengatakan ia menggunakan kecerdasan buatan secara berat untuk mengembangkan rantai eksploitasi tersebut. Langkah-langkah tersebut melibatkan jam kerja iteratif, jalan buntu, dan prioritas ulang. Semua panggilan penilaian tentang apa yang harus dicari dan apa yang harus diprioritaskan adalah miliknya. Model bahasa besar mempercepat proses ini secara signifikan, memungkinkan peneliti tetap pada tingkat yang lebih tinggi dan hanya memandu proses tersebut.
Perwakilan Plex tidak segera menanggapi pertanyaan. Siapa pun yang menggunakan Plex harus memastikan bahwa perangkat lunak tersebut menjalankan versi 1,43,3. Perangkat lunak dapat dikonfigurasi untuk menginstal pembaruan secara otomatis, atau pengguna dapat mengunduh dan menginstalnya secara manual. Mengingat eksploitasi aktif, versi usang harus diperbarui segera. Selain itu, pengguna harus mencurahkan perhatian untuk mengamankan server media dengan benar. Opsi teraman adalah membatasi aksesnya ke jaringan lokal tanpa paparan ke internet. Opsi ini mencegah kemampuan untuk menggunakan banyak fitur yang berguna, meskipun. Satu opsi saat menghubungkan perangkat ke internet terbuka adalah mengarahkan lalu lintas melalui proksi balik, alih-alih menggunakan port default 32400. Pengguna juga harus hanya menggunakan aplikasi Plex yang aman. Dan tentu saja, kata sandi yang kuat adalah keharusan.