Plex Media Server dính chuỗi 4 lỗ hổng có thể nối lại thành RCE không cần đăng nhập, gọi là Plex2Shell: CVE-2026-96652, CVE-2026-96654, CVE-2026-96655 và CVE-2026-96656. Ghép lại, chuỗi này được chấm CVSS 9.8 — tấn công qua mạng, độ phức tạp thấp, không cần tài khoản hay tương tác của người dùng. Kẻ tấn công lần lượt qua mặt kiểm tra nội bộ, lấy được token admin của chủ server, rồi ghi file vào thư mục Codecs của Plex để chạy code.

Plex đã vá từ bản 1.43.3.10861; các bản 1.43.2 trở xuống đều dính. PoC công khai xuất hiện ngày 16/10, và CISA đã đưa cả 4 CVE vào danh sách KEV ngày 20/10 (hạn xử lý cho khối liên bang là 23/10 và 03/11).

Điểm mới ngày 06/11: QNAP ra thông báo rằng một số người dùng báo Plex trên NAS của họ "có vẻ đã bị xâm nhập" qua Plex2Shell, và bộ phận hỗ trợ QNAP đang hỗ trợ họ. QNAP nói rõ lỗi nằm ở Plex Media Server, còn QTS, QuTS hero và các hệ điều hành khác của QNAP thì không dính. Máy bị xâm nhập đã bị cài phần mềm đào coin (XMRig) và phần mềm proxy (myawesomeproxy) để chuyển lưu lượng của người khác qua kết nối của nạn nhân.

Cần làm ngay:

  1. Cập nhật Plex Media Server lên 1.43.3.10861 trở lên qua App Center, rồi kiểm tra đúng số bản trong Plex Web > Settings > General.
  2. Cập nhật không gỡ được thứ kẻ tấn công đã cài sẵn — nếu máy từng mở Plex ra internet ở bản 1.43.2 trở xuống thì coi như có thể đã bị xâm nhập: kiểm tra tiến trình lạ, CPU/tải mạng bất thường, file lạ trong thư mục Codecs, kết nối ra proxystream.st, rồi cân nhắc cài lại sạch.
  3. Đừng để Plex lộ thẳng ra internet nữa nếu không cần; dùng VPN hoặc reverse proxy có xác thực.

Theo Censys, có khoảng 324.000 máy chủ Plex lộ ra internet, khoảng 30% trong đó đang chạy bản dính lỗi. QNAP chưa công bố dấu hiệu nhận biết cụ thể (không có hash, đường dẫn file hay địa chỉ nào) nên bước kiểm tra thực tế là xem tiến trình và lưu lượng trên máy.

Nguồn: