旧版Plex媒体服务器遭到Plex2Shell攻击 安全研究员部署的蜜罐被植入挖矿程序
内容提要
安全研究员发现，旧版Plex媒体服务器漏洞Plex2Shell于10月16日公布后仅一天即被攻击者利用。攻击者通过由四个漏洞组成的攻击链入侵服务器，植入门罗币挖矿程序并部署代理。Plex已于9月1日发布修复版本1.43.3.10861+，建议用户及时升级；NAS用户应检查版本并避免将服务暴露于公网。
延伸解读
漏洞公布次日即遭利用，攻击窗口极短
文章指出，Plex2Shell漏洞及PoC于10月16日公布，安全研究员的蜜罐在10月17日就观察到攻击，间隔仅一天。攻击者利用PoC快速分析出攻击链并实施入侵，说明漏洞公开后的暴露窗口非常短。对用户而言，这意味着不能等到看到攻击报道才行动，而应在补丁发布后尽快升级，避免旧版本长期在线。
四漏洞串联：无需登录即可执行代码
Plex2Shell由CVE-2026-96652、96654、96655、96656四个漏洞组成攻击链。攻击者先利用服务器端请求伪造触达内部插件接口，再借助授权检查缺陷和转码流程，将文件写入Plex的Codecs目录，最终触发代码执行。整个过程不需要登录Plex账户，代码以Plex Media Server服务进程权限运行，因此一旦成功，攻击者可直接控制服务环境。
修复版本早已发布，NAS用户需额外留意
这些漏洞并非10月才修复。Plex早在9月1日就发布安全公告，建议使用1.43.2或更早版本的用户升级，修复版本为1.43.3.10861+。文章特别提醒，部分NAS提供商的套件更新可能延迟，因此在NAS中安装Plex的用户应主动检查版本，并如无必要避免将NAS暴露在公网，以降低被扫描和利用的风险。
入侵后果不止挖矿：服务器还可能被用作跳板
蜜罐被入侵后，攻击者下载并植入了门罗币挖矿程序，后续还部署了代理程序，将受害服务器当作跳板转发外部流量。这说明此类攻击不仅消耗计算资源，还可能使服务器卷入其他网络活动。攻击请求来自多个不同IP地址，也表明扫描和利用行为具有一定规模，旧版Plex服务在线时间越长，风险越大。
Q&A
Plex2Shell漏洞是什么？它包含哪些CVE编号？
Plex2Shell是一个针对旧版Plex媒体服务器的漏洞利用链，由四个漏洞组成，分别是CVE-2026-96652、CVE-2026-96654、CVE-2026-96655和CVE-2026-96656。攻击者可以将这些漏洞串成攻击链，实现无需登录的远程代码执行。
攻击者是如何利用Plex2Shell漏洞链入侵服务器的？
攻击者首先利用服务器端请求伪造（SSRF）触达内部插件接口，然后借助授权检查缺陷和转码流程，将文件写入Plex的Codecs目录，最终触发代码执行。整个过程不需要登录Plex账户，代码以Plex Media Server服务进程的权限运行。
Plex2Shell漏洞被利用后，服务器会遭受哪些危害？
攻击者会植入門罗币挖矿程序，消耗服务器资源进行加密货币挖矿。此外，攻击者还会部署代理程序，将受害服务器作为跳板转发外部流量，可能导致服务器被用于其他恶意活动。
Plex官方修复Plex2Shell漏洞的版本是什么？何时发布的？
Plex于9月1日发布安全公告，修复版本为1.43.3.10861+，建议使用Plex Media Server 1.43.2或更早版本的用户尽快升级。
NAS用户如何防范Plex2Shell漏洞攻击？
NAS用户应检查Plex Media Server的版本，确保升级到1.43.3.10861+或更高版本。由于部分NAS提供商的套件更新可能延迟，用户需手动检查更新。此外，如无必要，请勿将NAS暴露在公网上，以降低被攻击的风险。
Plex2Shell漏洞从公布到被利用用了多长时间？这说明了什么？
Plex2Shell漏洞及PoC于10月16日公布，安全研究员在10月17日就通过蜜罐观察到了攻击，仅隔1天。这表明攻击者利用漏洞的速度非常快，在人工智能技术的帮助下，黑客开发漏洞利用的效率显著提高，因此用户必须及时更新软件版本。
