Beveiliging · 24 oktober 2026
CISA waarschuwt voor actieve aanvalsketen op Plex Media Server
De Amerikaanse Cybersecurity and Infrastructure Security Agency (CISA) heeft een dringend beveiligingsadvies uitgebracht naar aanleiding van een actieve cyberaanval die vier kwetsbaarheden in de Plex Media Server combineert. De aanval, bekend onder de naam Plex2Shell, stelt aanvallers in staat om zonder inloggegevens toegang te krijgen tot servers en schadelijke code op afstand uit te voeren. Dit gebeurt door interne functies te misbruiken om beheerdersautorisatietokens te stelen. De software wordt gebruikt voor het opslaan en streamen van persoonlijke media zoals films, muziek en foto’s naar verschillende apparaten via internet. Naast thuisgebruikers wordt de server ook ingezet in netwerkopslagapparatuur en bedrijfssystemen, waardoor onpatchte versies die blootstaan aan het internet kwetsbaar zijn voor deze specifieke aanvalsmethode.
De aanvalsketen maakt gebruik van vier specifieke kwetsbaarheden, geïdentificeerd als CVE-2026-96652, CVE-2026-96654, CVE-2026-96655 en CVE-2026-96656. De eerste fout laat externe aanvallers toe om de server te misleiden tot het verzenden van abnormale verzoeken naar het interne systeem. De tweede fout stelt aanvallers in staat om toegang te krijgen tot interne functies en zo specifieke commando’s of acties uit te lokken. De derde fout kan leiden tot het blootleggen van de beheerdersautorisatietoken van de servereigenaar. De vierde fout stelt aanvallers in staat om schadelijke bestanden op de server op te slaan en code uit te voeren met programmarechten. Hoewel het individuele risicoprofiel van deze fouten varieert van middelmatig tot hoog, leidt de combinatie ervan tot volledige controle over de server zonder authenticatie. Beveiligingsonderzoekers hebben het totale risico van deze aanvalsketen gescoord op 9,8 van de 10 mogelijke punten.
Beveiligingsonderzoeker Zach Main meldde de problemen oorspronkelijk aan Plex op 27 juli. Op 16 oktober werden technische analyses en code voor het reproduceren van de aanval openbaar gemaakt, wat leidde tot een verspreiding van daadwerkelijke aanvalspogingen. Plex heeft bevestigd dat er op grote schaal aanvallen plaatsvinden op niet-gepatchte servers die blootstaan aan het internet. Op sommige gecompromitteerde servers zijn programma’s voor het mijnen van cryptocurrency gedetecteerd. Daarnaast zijn gevallen vastgesteld waarin aanvallers het internetverkeer van slachtoffers gebruiken als doorgeefluik voor andere netwerkactiviteiten. Plex raadt aan uit te gaan van een mogelijke inbreuk op servers met kwetsbare versies die extern toegankelijk zijn.
De kwetsbaarheden beïnvloeden Plex Media Server versies ouder dan 1.43.3.10861. Updates naar deze versie of hoger bevatten de correcties voor deze fouten. CISA heeft de Amerikaanse federale instanties opdracht gegeven om beveiligingsupdates of verlichtingsmaatregelen uiterlijk op 23 oktober te voltooien. Beveiligingsprofessionals dienen onmiddellijk de serverversie te controleren en te upgraden naar de nieuwste versie. Het is essentieel om onnodige blootstelling van poort 32400 te beperken en te controleren op onbekende programma’s of abnormale externe communicatie. Bij verdenking van inbreuk wordt aanbevolen de server opnieuw te installeren in een schone omgeving en wachtwoorden en sessies voor Plex-accounts te resetten. Dit incident benadrukt dat de combinatie van meerdere kwetsbaarheden, zelfs met een gemiddeld individueel risico, kan leiden tot omzeiling van authenticatie en volledige serverovername.