Gli hacker sfruttano una vulnerabilità in Plex per installare miner di criptovalute su migliaia di server

I pirati informatici stanno sfruttando dal 17 ottobre una serie di quattro vulnerabilità di sicurezza nel Plex Media Server per prendere il controllo remoto di server domestici senza necessità di password, installare miner di criptovalute e trasformare i dispositivi in intermediari di traffico anonimo. La serie di vulnerabilità, soprannominata Plex2Shell, combina quattro vulnerabilità: una frode di richieste lato server senza autenticazione, accesso non autorizzato a funzioni interne del programma, furto del token di amministratore del proprietario del server e scrittura arbitraria di file nella cartella dei codec. Combinati, consentono di eseguire codice con gli stessi permessi del servizio Plex stesso. Plex ha corretto le quattro vulnerabilità all'inizio di settembre con la versione 1.43.3 e ha quindi chiesto agli utenti di aggiornare. Tre settimane dopo ha pubblicato i numeri identificativi corrispondenti: CVE-2026-96652, CVE-2026-96654, CVE-2026-96655 e CVE-2026-96656, uno dei quali con una gravità di 8,6 su 10. Un ricercatore di sicurezza ha pubblicato il 16 ottobre un rapporto tecnico con il codice in grado di concatenare le quattro vulnerabilità ed eseguirle da remoto senza necessità di credenziali valide. "Queste vulnerabilità stanno venendo sfruttate in modo attivo e diffuso. Se il tuo server è precedente alla versione 1.43.3.10861 e è accessibile da internet, assumi che potrebbe essere compromesso", ha avvertito Plex in un comunicato pubblicato il 19 ottobre nel suo forum ufficiale di supporto.

Miner di criptovalute e proxy nascosti

Un secondo ricercatore ha montato un server di inganno con una versione vulnerabile per monitorare gli attacchi in tempo reale. Ha rilevato i primi tentativi di sfruttamento il 17 ottobre, un giorno dopo che il codice è diventato disponibile pubblicamente. Gli attaccanti hanno prima installato un miner di criptovalute basato su XMRig e, poche ore dopo, un programma chiamato myawesomeproxy, che trasforma il server infetto in un intermediario di traffico internet. Questo programma consente a terzi di deviare il proprio traffico attraverso la connessione della vittima per nascondere la propria origine. "Plex è spesso ospitato su indirizzi IP residenziali, e gli attaccanti cercano proprio questo tipo di proxy per accedere a reti aziendali e email", ha scritto il ricercatore che ha rilevato l'attività, secondo quanto riportato da Ars Technica. La società di monitoraggio delle minacce Shadowserver ha rilevato più di 48.000 server Plex esposti direttamente a internet con versioni vulnerabili, secondo quanto riportato dal media tedesco Golem.de a partire dalle scansioni di quell'organizzazione.

Cosa devono fare gli utenti

Plex ha raccomandato di aggiornare immediatamente alla versione 1.43.3.10861 o successiva dalle impostazioni generali del programma. Ha anche chiesto di controllare se ci sono processi sconosciuti derivanti dal servizio o file non riconosciuti all'interno della cartella dei codec. Un altro segnale di allerta sono le connessioni in uscita verso il dominio proxystream.st, indicativo che il dispositivo è già stato compromesso dal programma proxy. Se viene rilevata una di queste tracce, l'azienda suggerisce di reinstallare il server da zero invece di riutilizzare la cartella dati precedente. Ha anche consigliato di disconnettere tutti i dispositivi collegati all'account e cambiare la password. Per coloro che non necessitano di accesso remoto, Plex ha suggerito di disattivare direttamente quella funzione e di evitare di esporre la porta 32400 a internet. La vulnerabilità originale è stata segnalata all'azienda il 27 luglio da un ricercatore che ha ricevuto una ricompensa economica per la scoperta. "Non si trattava di chiedere a un modello di linguaggio di hackerare Plex. Sono state ore di lavoro iterativo, vicoli ciechi e riorganizzazione delle priorità", ha scritto il ricercatore, sebbene abbia chiarito che le decisioni su cosa dare priorità erano sue. Plex non ha risposto immediatamente alle domande della stampa specializzata riguardo all'estensione totale dei server compromessi.

Questo contenuto è fornito a solo scopo informativo generale e non costituisce consulenza finanziaria, di investimento, legale o fiscale. Qualsiasi evento, ricompensa, promozione online o informazione correlata menzionata nel presente documento non deve essere considerata una raccomandazione, una sollecitazione o un invito ad acquistare, vendere, fare trading o altrimenti negoziare criptovalute. Le criptovalute sono altamente volatili e possono comportare perdite. La disponibilità dei servizi, dei prodotti e degli eventi correlati di WEEX può variare a seconda della regione. È tua responsabilità assicurarti che la tua partecipazione sia conforme alle leggi e ai regolamenti locali applicabili.