Plex2Shell: como quatro falhas do Plex viram um 9.8

Em 20 de outubro, a CISA acrescentou ao catálogo de vulnerabilidades exploradas (KEV) quatro falhas do Plex Media Server: CVE-2026-96652, CVE-2026-96654, CVE-2026-96655 e CVE-2026-96656.³ Elas formam o Plex2Shell, uma cadeia que o pesquisador Zach Main avalia em 9.8 no CVSS e que leva um atacante da internet à execução de código no servidor, sem autenticação.¹ Individualmente, as falhas ficam entre média e alta gravidade: 5.3, 5.3, 6.9 e 8.6 no CVSS.²⁵

A correção existe desde 4 de agosto, na versão 1.43.3.10861.² Servidores anteriores a ela continuam vulneráveis.

A cadeia, passo a passo

Main descreve cinco etapas, cada uma apoiada numa suposição de confiança que não se sustenta.¹

1. SSRFServer-side request forgery: o atacante faz o próprio servidor enviar uma requisição que ele não conseguiria enviar de fora. sem login em /player/timeline. A verificação de token só testa se o parâmetro X-Plex-Token existe, não se é válido. Um valor de protocol sem validação, na URL de callback de uma assinatura, faz o servidor enviar um POST cego para o próprio endereço de loopbackEndereço 127.0.0.1, pelo qual a máquina fala consigo mesma; muitos serviços tratam esse tráfego como confiável..
2. Salto para /system/agents/*. Essa família de APIs dispensa token em loopback. Um decorator @lock descarta o valor devolvido pela checagem interna, e o guarda de identificador em agentservice.py não impede a chamada a searchOne. O identificador também entra na URL sem codificação, e caracteres como ? e # alteram a requisição.
3. Roubo do token do dono. O framework de plugins anexa o token do dono a toda requisição de saída cuja URL comece com http://127.0.0.1. A comparação é só por prefixo, e um hostname parecido satisfaz a regra. O alvo é a função GetResultFromNetwork do agente do TheTVDB.
4. Entrega do payload. Com o token, o atacante define a preferência TranscoderH264Options em /:/prefs. Ela repassa a opção dump-yuv ao x264, que grava frames decodificados no caminho escolhido, dentro do diretório de codecs. Em seguida, um pedido ao endpoint /video/:/transcode/universal faz o servidor baixar e transcodificar um vídeo hospedado pelo atacante, cujo primeiro frame carrega, byte a byte, uma biblioteca .so.
5. Execução. No próximo transcode, o libavutil.so.58 embarcado chama dlopen em todo arquivo .so desse diretório, sem validar nome nem assinatura. Um construtor no arquivo gravado roda como o usuário plex.

Por que a soma passa de qualquer parcela

BleepingComputer descreve os quatro CVEs como um SSRF sem autenticação em /player/timeline, uma injeção de URL no searchOne, um SSRF autenticado no endpoint do transcoder e uma escrita arbitrária de arquivo nas configurações do transcoder, esta última exigindo conta de administrador.² Tomadas isoladamente, as três últimas pedem acesso que o atacante não tem. A primeira abre a porta, e o resto da cadeia fabrica o que falta: o tráfego de loopback dispensa token, o token do dono sai de graça por um prefixo de string e o arquivo gravado vira código.

Duas decisões de projeto aparecem repetidas. Tráfego vindo de 127.0.0.1 é tratado como confiável, embora um SSRF faça qualquer requisição parecer local. E uma URL é aceita por começar com certo texto, embora o início de uma string não diga quem é o destinatário.

Cronologia e exploração

Main relatou as falhas à Plex em 27 de julho. A empresa as reconheceu e pagou a recompensa em 4 de agosto, os CVEs foram atribuídos em 23 de setembro e a análise técnica saiu em 16 de outubro.¹ A prova de conceito saiu no GitHub junto com a análise, segundo a Field Effect.⁵

Os primeiros ataques vistos em campo datam de 17 de outubro. O autor de um honeypot com uma versão vulnerável do Plex registrou a exploração naquela manhã e, ao longo do dia, o download do minerador XMRig e de uma ferramenta de proxy.⁴ A Field Effect relata o mesmo perfil de payload: mineradores de criptomoeda e malware de proxy.⁵

O registro da CISA lista as quatro falhas com data de inclusão de 20 de outubro. Os prazos diferem: 23 de outubro para o CVE-2026-96654 e o CVE-2026-96656, e 3 de novembro para o CVE-2026-96652 e o CVE-2026-96655.³ O BleepingComputer, que publicou em 21 de outubro, cita o prazo de 23 de outubro para agências federais.²

Servidores caseiros e atualização manual

A Shadowserver Foundation contava, no início de setembro, mais de 36 mil instâncias do Plex Media Server expostas à internet e sem o patch.⁵ A Field Effect recomenda conferir a versão instalada na interface do Plex, em especial em NAS e outros aparelhos que não se atualizam sozinhos, e inventariar todos os servidores, VMs e ambientes remotos.⁵

Quem estava exposto e rodava versão vulnerável precisa fazer mais que atualizar. A Field Effect aponta como indícios de comprometimento arquivos inesperados no diretório de codecs, processos novos lançados pelo serviço do Plex, uso de CPU alto e contínuo e conexões de saída incomuns, e observa que um servidor pode continuar comprometido depois do patch se o atacante tiver chegado antes. Para máquinas que ficaram expostas com versão vulnerável, a recomendação é uma análise forense.⁵

Fontes

1. Plex2Shell · Zach Main · zmain.info · https://zmain.info/blog/plex2shell · out. 2026
2. CISA: Hackers chain Plex flaws in Plex2Shell attacks to breach servers · Bill Toulas · BleepingComputer · https://bleepingcomputer.com/news/security/cisa-hackers-chain-plex-flaws-in-plex2shell-attacks-to-breach-servers · 21 out. 2026

Mostrar mais 3 fontesOcultar fontes

3. Known Exploited Vulnerabilities Catalog · CISA · https://www.cisa.gov/known-exploited-vulnerabilities-catalog · acesso em 29 out. 2026
4. Plex vulnerabilities being exploited in the wild · Bored Hacker Blog · http://www.boredhackerblog.info/2026/10/plex-vulnerabilities-being-exploited-in.html · 17 out. 2026
5. Active exploitation of Plex2Shell vulnerabilities · Field Effect · https://fieldeffect.com/blog/active-exploitation-plex2shell-vulnerabilities · out. 2026