Sicurezza · 22 ottobre 2026
Attacchi attivi sfruttano vulnerabilità di Plex per installare malware
Un ricercatore ha riferito che le vulnerabilità recentemente corrette nel server multimediale Plex sono oggetto di sfruttamento attivo. Gli attacchi, quando hanno successo, installano malware sui dispositivi colpiti, inclusi minatori di criptovalute e applicazioni per proxy residenziali.
Plex ha corretto quattro vulnerabilità all'inizio del mese scorso. Tre settimane dopo, sono state pubblicate le designazioni CVE per cinque vulnerabilità, una delle quali con un punteggio di gravità di 8,6 su 10. La settimana scorsa, un ricercatore ha rivelato uno sfruttamento che concatenava quattro di queste vulnerabilità per ottenere l'esecuzione remota del codice sul dispositivo che eseguiva una versione vulnerabile di Plex. Il ricercatore ha chiamato questa catena "Plex2Shell".
I nuovi dettagli hanno permesso a un altro ricercatore di creare un esca che poteva tracciare i tentativi nel mondo reale di sfruttare la catena di vulnerabilità. Entro un giorno, il ricercatore ha iniziato a vedere scansioni attive del server Plex simulato e, infine, tentativi riusciti di infettare i dispositivi. Finora, gli attacchi riusciti stanno installando due carichi. Uno è un minatore di criptovalute, che usa il dispositivo per estrarre criptovaluta e depositarla in un portafoglio controllato dall'attaccante. L'altro carico è un software di proxy residenziale, che permette alle persone di anonimizzare la propria attività su Internet, gran parte della quale è illegale, collegandosi alla scatola infetta e usando poi per inviare il traffico dell'utente a una destinazione finale.
Un ricercatore ha scritto che Plex potrebbe essere ospitato su IP residenziali e che gli attori della minaccia amerebbero avere un proxy IP residenziale per accedere a VPN aziendali e e-mail. Lo sfruttamento pubblicato faceva parte di un attacco dimostrativo che il primo ricercatore ha incluso quando ha inviato una segnalazione di bug a Plex. Il codice complesso completa una serie di passaggi, tra cui un SSRF non autenticato, una pivot di loopback, un furto di token di sicurezza, la consegna del carico e infine l'esecuzione del carico. Il ricercatore ha affermato di aver usato l'intelligenza artificiale in modo pesante per sviluppare la catena di sfruttamento.
I portavoce di Plex non hanno risposto immediatamente alle domande. Chiunque usi Plex dovrebbe assicurarsi che sia in esecuzione la versione 1.43.3. Il software può essere configurato per installare gli aggiornamenti automaticamente, oppure gli utenti possono scaricarli e installarli manualmente. Dato lo sfruttamento attivo, le versioni obsolete dovrebbero essere aggiornate immediatamente. Oltre a ciò, gli utenti dovrebbero dedicare attenzione a proteggere adeguatamente i server multimediali. L'opzione più sicura è limitare l'accesso alle reti locali senza esposizione a Internet. Questa opzione impedisce di poter usare molte funzionalità utili. Un'opzione quando si collega un dispositivo a Internet aperto è instradare il traffico attraverso un proxy inverso, invece di usare la porta predefinita 32400. Gli utenti dovrebbero anche usare solo app Plex sicure. E naturalmente, le password forti sono obbligatorie.