新聞

10月16日研究人員Zach Main（Zmain）公布影音串流伺服器Plex Media Server漏洞利用鏈Plex2Shell，該利用鏈涵蓋CVE-2026-96652、CVE-2026-96654、CVE-2026-96655、CVE-2026-96656等4個漏洞，然而在相關資訊與概念驗證程式碼（PoC）公布的隔天，這些弱點就被用於實際攻擊。

研究人員BoredHacker於10月17日早上在蜜罐陷阱偵測到Plex2Shell利用活動，首次觀察到的攻擊來自IP位址45.194.92[.]222，攻擊者向Plex Media Server的/player/timeline/subscribe端點發送特製請求，將protocol參數指向searchOne端點，並透過URL參數串連漏洞利用流程。研究人員之後也觀察到來自91.92.40[.]202及176.65.139[.]228等IP位址的攻擊活動。攻擊者在成功利用Plex2Shell之後，部署挖礦軟體XMRig（處理程序為mylovelyminer），以及另一支惡意程式myawesomeproxy，該惡意程式為Linux後門程式，並且具備反向代理伺服器的功能。

Plex2Shell由Zach Main借助大型語言模型發現，並於今年7月下旬向Plex通報，Plex於8月上旬確認並推出1.43.3.10861版Plex Media Server修補。9月初Plex透露正在申請這些漏洞的CVE編號，並呼籲1.43.2版以前的用戶應儘速更新因應。這些弱點的CVE編號於9月23日正式指派，根據CVSS評分，最嚴重的是任意檔案寫入漏洞CVE-2026-96656，CVSS v4.0評分為8.6。