黑客利用 Plex2Shell 漏洞安装加密货币挖矿程序和 Linux 代理后门

威胁行为者已开始利用 Plex Media Server 中的一串漏洞部署加密货币挖矿程序和反向代理软件，此时距概念验证（PoC）公开仅一天。

据化名 boredhackerblog 的研究人员称，此次利用活动串联了四个不同的漏洞，统称为 Plex2Shell。

这些漏洞如下——

• CVE-2026-96652（CVSS 评分：5.3）——一个未经身份验证的服务器端请求伪造（SSRF），经由"/player/timeline"端点触发，利用了"protocol"参数在无验证的情况下被插入程序化构造的播放器 URL 这一事实，允许攻击者强制 Plex 服务器向其选择的目的地发起 POST 请求。
• CVE-2026-96654（CVSS 评分：6.9）——"searchOne"端点中包含的 URL 值未被正确中和，可能允许攻击者调用其他插件的函数并提供自己的参数，从而获取所有者的管理员令牌。
• CVE-2026-96655（CVSS 评分：5.3）——一个 SSRF 漏洞，允许经过身份验证的用户（即所有者令牌）通过'/video/:/transcode/universal'路径参数请求任意内部或外部地址（例如攻击者托管的、携带恶意 ELF 载荷的载体视频）。
• CVE-2026-96656（CVSS 评分：8.6）——一个文件名或路径外部控制漏洞，可将 ELF 共享对象写入 Codecs 目录中攻击者选定的路径并执行它。

换言之，这些漏洞可按此顺序组合，从而在易受攻击的 Plex Media Server 实例上实现未经身份验证的远程代码执行。

这些漏洞连同 CVE-2026-96651（CVSS 评分：7.1）由安全研究员 Zach Main 于 2026 年 7 月 27 日披露给 Plex，并已在 2026 年 8 月 3 日发布的 Plex Media Server 1.43.3.10861 中修复。

自 Plex2Shell 攻击链的技术细节于 2026 年 10 月 16 日公开后一天，便记录到了针对这些漏洞的在野利用尝试。攻击使用一个 shell 脚本，通过 wget 或 curl 获取并部署托管在远程服务器（"217.60.194[.]116"）上的挖矿载荷（"x12345"）。

攻击活动已从以下 IP 地址观察到——

• 91.92.40[.]202
• 176.65.139[.]228
• 45.194.92[.]222
• 176.65.139[.]228

此外，这些漏洞还被利用来投递一个名为"myawesomeproxy"的工件，据 VirusTotal 称，这是一个隐蔽的 Linux 后门和反向代理。据 boredhackerblog 称，运行该程序会显示以下信息——

在任何设备上运行本软件即表示您同意对您的互联网流量进行潜在的外部使用。

同时部署的还有一个被识别为"mylovelyminer"的 XMRig 挖矿进程，其挖矿服务器指向"ota.proxystream[.]st"。值得注意的是，同一域名下的另一个子域"global.relay.proxystream[.]st"曾于 2026 年 8 月被 Bitsight 标记，与 AISURU DDoS 和代理软件僵尸网络有关。

Reddit 上的帖子表明，多名 Plex 用户的实例已被相同的"mylovelyminer"载荷攻陷。不过，目前尚不清楚这是否源于对 Plex2Shell 漏洞的利用。

这一事态发展距 Plex 在发布修复多个未指明安全缺陷的更新后敦促用户将实例更新到最新版本已过去一个多月。

目前尚不清楚上述漏洞是否属于该警报的一部分。The Hacker News 已联系 Plex 置评，若收到回复将更新本文。鉴于存在活跃利用，建议用户保持 Plex 安装为最新版本以获得最佳防护。