Cuatro vulnerabilidades en Plex permiten ejecución remota de código sin autenticación; casi 100.000 servidores en riesgo.

Un servidor multimedia doméstico común se convirtió en una herramienta para minar criptomonedas y transmitir tráfico ajeno de forma oculta. En Plex Media Server se descubrió una cadena de cuatro vulnerabilidades Plex2Shell que permite ejecutar código arbitrario de forma remota sin autorización. La empresa Plex ya confirmó ataques masivos, y los especialistas de Censys detectaron casi 100 000 servidores potencialmente vulnerables.

Según el análisis publicado el 20 de octubre por Censys, en internet están disponibles 323 583 servidores Plex Media Server. Alrededor del 30% funcionan en versiones vulnerables. Aproximadamente el 44% de las instalaciones detectadas se encuentran en Estados Unidos. Otro detalle inquietante concierne a casi 8 000 servidores que utilizan la compilación temprana 1.43.3.10828, que los propietarios pueden considerar erróneamente segura.

El ataque comienza con CVE-2026-96652 (CVSS 3.1, 4,3 puntos), que permite forzar al servidor a enviar solicitudes a una dirección determinada. Luego el atacante utiliza CVE-2026-96654 (CVSS 3.1, 6,5 puntos) para acceder a funciones internas de Plex. El siguiente fallo, CVE-2026-96655 (CVSS 3.1, 4,3 puntos), revela el token administrativo del propietario.

Los privilegios obtenidos abren acceso a CVE-2026-96656 (CVSS 3.1, 7,2 puntos). Mediante la configuración de transcodificación de vídeo, el atacante escribe una biblioteca maliciosa en el directorio Codecs. Plex carga ese archivo sin verificar la firma digital y, a continuación, ejecuta el código con los permisos del proceso del servidor. Cada fallo por separado parece menos peligroso que toda la cadena.

Un exploit funcional apareció el 16 de octubre, y ya el 17 de octubre una trampa para atacantes registró el primer ataque. En el servidor comprometido instalaron un minero y un programa proxy. Más tarde Plex confirmó la explotación a gran escala. El proxy permite redirigir tráfico de internet ajeno a través de la conexión de la víctima, convirtiendo de facto el servidor doméstico en un nodo de red de terceros.

La versión corregida 1.43.3.10861 salió ya el 4 de agosto, y el 1 de septiembre Plex advirtió a los propietarios sobre la necesidad de actualizar. Sin embargo, incluso después de la publicación del exploit la situación casi no cambió. En los primeros tres días se actualizaron menos del 2% de los servidores vulnerables restantes. Censys también averiguó que, entre las instalaciones vulnerables rastreadas por sus direcciones IP anteriores, solo alrededor del 40% recibieron la actualización.

Los desarrolladores advierten que una simple actualización de un servidor ya comprometido no elimina las bibliotecas maliciosas ni revoca los tokens robados. A los propietarios de instalaciones potencialmente comprometidas se les recomienda reinstalar Plex, limpiar el directorio Codecs, revisar la configuración de transcodificación, cerrar todas las sesiones y cambiar la contraseña. También están en riesgo las carpetas de red y las credenciales accesibles al proceso del servidor.