Yoan AGOSTINI

Yoan AGOSTINI

1337 G33k

Hackers Exploit Plex2Shell Flaws to Install Crypto Miners and Linux Proxy Backdoor

1 minute de lecture

Mis à jour :

Exploitation active de la chaîne de vulnérabilités « Plex2Shell »

Des attaquants exploitent actuellement une chaîne de vulnérabilités critiques, baptisée Plex2Shell, affectant Plex Media Server pour compromettre des serveurs non mis à jour. Cette chaîne permet d’exécuter du code à distance (RCE) sans authentification, menant au déploiement de mineurs de cryptomonnaies (XMRig) et de proxys inverses malveillants (« myawesomeproxy »), potentiellement liés au botnet AISURU.

Vulnérabilités identifiées (CVE) : La chaîne repose sur l’enchaînement de quatre failles majeures :

  • CVE-2026-96652 (SSRF, score 5.3) : Injection de paramètres dans les URL de lecture.
  • CVE-2026-96654 (Neutralisation incorrecte des URL, score 6.9) : Accès non autorisé aux fonctions des plugins pour récupérer des jetons administrateur.
  • CVE-2026-96655 (SSRF, score 5.3) : Utilisation du jeton obtenu pour effectuer des requêtes arbitraires et charger des charges utiles malveillantes.
  • CVE-2026-96656 (Contrôle externe de chemin de fichier, score 8.6) : Exécution de code arbitraire via le répertoire de codecs.

Note : La CVE-2026-96651 est également mentionnée dans le cadre du signalement initial.

Points clés :

  • Mode opératoire : L’exploitation combinée des vulnérabilités permet de passer d’un accès anonyme à une exécution de code avec privilèges sur le serveur.
  • Impact : Installation persistante de logiciels de minage de cryptomonnaies et de proxys permettant d’utiliser la bande passante de la victime.
  • Statut : Les vulnérabilités ont été corrigées par l’éditeur le 3 août 2026, mais des campagnes d’exploitation active ont été observées depuis la publication d’un PoC (Proof of Concept) en octobre 2026.

Recommandations :

  • Mise à jour immédiate : Appliquer sans délai la version Plex Media Server 1.43.3.10861 ou supérieure pour neutraliser la chaîne Plex2Shell.
  • Vérification : Surveiller les processus suspects (notamment « mylovelyminer ») et les connexions sortantes vers des domaines ou IP inconnus sur les serveurs Plex exposés.

Source

Vous pourriez aimer