Уязвимости Plex2Shell в Plex Media Server уже используют в атаках: цепочка из четырёх ошибок позволяет удалённому злоумышленнику получить административный токен владельца и выполнить код с повышенными правами. Для русскоязычных администраторов это прямой повод проверить домашние, тестовые и корпоративные медиасерверы: безопасной считается версия 1.43.3.10861 или новее.
Американское агентство CISA внесло проблемы в каталог Known Exploited Vulnerabilities и потребовало от федеральных ведомств США закрыть риск или применить компенсирующие меры до 23 октября. О зафиксированной эксплуатации сообщает BleepingComputer: первые атаки, по его данным, были направлены на honeypot-серверы Plex, куда злоумышленники устанавливали криптомайнер.
Plex Media Server обычно воспринимают как удобный сервис для коллекции фильмов, музыки, фотографий и трансляции на домашние устройства. Но именно эта репутация делает его неудобной целью для защиты: инстансы нередко работают годами, доступны извне для удалённого просмотра и не попадают в привычный контур управления корпоративными обновлениями. При этом сервер может хранить учётные данные, иметь доступ к NAS и находиться в той же сети, что и более ценные системы.
Проблемы обнаружил исследователь Zach Main, который сообщил о них Plex 27 июля. Каждая из четырёх CVE по отдельности получила среднюю или высокую оценку серьёзности, однако полную цепочку исследователь оценил в 9,8 балла из 10. Обновление Plex Media Server с исправлениями вышло 4 августа, а технические детали атаки были опубликованы 16 октября. Через три дня появился proof-of-concept, и окно между публичной демонстрацией и реальными попытками эксплуатации оказалось почти символическим.
Первая ошибка, CVE-2026-96652, находится в обработчике /player/timeline. Она даёт неаутентифицированному атакующему SSRF-возможность: сервер Plex можно заставить отправлять POST-запросы к произвольным адресам, включая собственные внутренние API. CVE-2026-96654 связана с URL-инъекцией в функции searchOne и позволяет вызывать функции других плагинов с параметрами, заданными атакующим. Следом используется CVE-2026-96655 — аутентифицированная SSRF-уязвимость в endpoint транскодера, через который можно обращаться к внутренним или внешним адресам от имени Plex.
Финальный элемент цепочки — CVE-2026-96656 в настройках транскодера. Администратор с нужными правами способен записать на сервер произвольный файл, в том числе вредоносную разделяемую библиотеку. Когда Plex затем загрузит такую библиотеку, атакующий получает выполнение кода. В связке ошибки превращают доступ к публичному HTTP-интерфейсу в захват административного контекста и запуск команд на хосте. Именно поэтому формально «не критичные» по отдельности CVE нельзя разбирать в отрыве друг от друга.
Практический минимум для владельцев Plex — сверить версию, обновиться до 1.43.3.10861 или более свежей и убедиться, что устаревшие экземпляры не торчат в интернете. Если обновление временно невозможно, стоит хотя бы ограничить внешний доступ к административным функциям, проверить журналы Plex и хоста на необычные запросы к API, новые библиотеки и незнакомые процессы. Особенно внимательно — к серверам, где транскодирование выполняется от привилегированной учётной записи: там последствия компрометации будут заметно тяжелее, чем испорченная медиатека.
Этот эпизод хорошо показывает, почему инвентаризация «несерьёзных» сервисов стала задачей не только энтузиастов, но и IT-служб. Медиа-сервер может не быть частью бизнес-приложения, однако после проникновения он способен стать удобной точкой закрепления внутри сети. CISA одновременно добавило в KEV эксплуатируемые уязвимости Siemens Software Center и SiteGuard Server Edition — ещё одно напоминание, что атакующие выбирают не модный продукт, а доступный путь к выполнению кода.
С публикацией PoC уязвимости Plex2Shell перестают быть историей для узкого круга исследователей: воспроизводимость атаки снижает порог для массового сканирования. Главный вопрос теперь не в том, найдут ли атакующие старые серверы Plex, а в том, сколько из них владельцы по-прежнему считают просто домашним приложением. Подробности исследования и хронология раскрытия доступны у .
