Plex2Shell漏洞链野外利用投递XMRig

资讯专家

概要
Plex2Shell 是影响 Plex Media Server 的四漏洞利用链，编号为 CVE-2026-96652、CVE-2026-96654、CVE-2026-96655、CVE-2026-96656。攻击者可将这些漏洞组合，在暴露的服务器上无需有效凭据执行任意代码，代码以 Plex 服务权限运行。研究员于10月16日公开技术细节和 PoC；10月17日早上，蜜罐即观察到野外利用。攻击者使用了公开的 exploit，可能对代码做过修改。

利用情况
该蜜罐运行的是易受攻击的 Plex 版本。10月17日之前，蜜罐主要收到侦察扫描和通用攻击尝试；10月17日早上首次看到实际利用。攻击者投递了基于 XMRig 的加密货币挖矿程序。当天晚些时候，蜜罐上又出现名为 myawesomeproxy 的代理软件，该程序会提示运行者同意其互联网流量可能被使用。研究员认为，Plex 可能托管在住宅 IP 上，威胁者可能希望借助住宅 IP 代理访问企业 VPN 和邮件。需要说明，公开的 IOC 仅覆盖该蜜罐观察到的活动。

修复建议
Plex 于7月27日收到漏洞报告，8月4日确认问题并发放漏洞赏金，9月1日宣布已发布修复，并要求服务器所有者升级。Plex 建议所有服务器所有者尽快安装最新版本。对外暴露的 Plex 实例应核查版本，限制不必要的公网访问，并排查异常挖矿、代理进程及外联连接。