黑客利用 Plex 漏洞在数千台服务器上安装加密货币矿工

自10月17日起，黑客利用 Plex 媒体服务器的四个安全漏洞，远程控制家庭服务器而无需密码，安装加密货币矿工，并将设备转变为匿名流量的中介。这一漏洞链被称为 Plex2Shell，结合了四个漏洞：无身份验证的服务器端请求欺诈、对程序内部功能的未授权访问、服务器所有者的管理员令牌被窃取，以及在编解码器文件夹中任意写入文件。结合起来，允许以与 Plex 服务本身相同的权限执行代码。Plex 在9月初通过版本 1.43.3 修复了这四个漏洞，并当时要求用户进行更新。三周后，发布了相关标识符：CVE-2026-96652、CVE-2026-96654、CVE-2026-96655 和 CVE-2026-96656，其中一个的严重性为 8.6 分（满分 10 分）。一名安全研究人员在10月16日发布了一份技术报告，包含能够串联这四个漏洞并远程执行的代码，而无需有效凭证。"这些漏洞正在被积极和广泛地利用。如果您的服务器版本低于 1.43.3.10861，并且可以从互联网访问，请假设**可能已被攻陷"，Plex 在10月19日发布的官方支持论坛声明中警告道。

加密货币矿工和隐蔽代理

第二名研究人员搭建了一个易受攻击的诱饵服务器，以实时跟踪攻击。他在10月17日检测到了首次利用尝试，这一天是在代码公开发布后的一天。攻击者首先安装了一个基于 XMRig 的加密货币矿工，几个小时后，又安装了一个名为 myawesomeproxy 的程序，将感染的服务器转变为互联网流量的中介。该程序允许第三方通过受害者的连接转移自己的流量，以隐藏其来源。"Plex 通常托管在住宅 IP 地址上，攻击者正是寻找这种类型的代理，以访问企业网络和电子邮件，"检测到该活动的研究人员写道，Ars Technica 引用。威胁监测公司 Shadowserver 检测到超过 48,000 台直接暴露于互联网的 Plex 服务器，且版本存在漏洞，德国媒体 Golem.de 根据该组织的扫描结果进行了报道。

用户该如何做

Plex 建议立即更新到版本 1.43.3.10861 或更高版本，可通过程序的常规设置进行更新。还建议检查是否存在源自服务的未知进程或编解码器文件夹内的不明文件。另一个警示信号是向域名 proxystream.st 的外部连接，表明设备可能已被代理程序攻陷。如果发现任何这些迹象，公司建议从零开始重新安装服务器，而不是重复使用之前的数据文件夹。还建议注销所有与账户关联的设备并更改 密码。对于不需要远程访问的用户，Plex 建议直接禁用该功能，并避免将 32400 端口暴露于互联网。**原始漏洞于7月27日被一名研究人员报告给公司，该研究人员因发现漏洞而获得了经济奖励。"这并不是让一个语言模型去黑客 Plex。那是数小时的迭代工作、死胡同和优先级的重新排序，"研究人员写道，尽管他澄清说，关于优先级的决定是他自己的。Plex 没有立即回应媒体关于受影响服务器总数的咨询。

本内容仅供参考，不构成任何金融、投资、法律或税务建议。文中提及的任何活动、奖励、线上活动或相关信息，不应被视为对购买、出售或交易任何加密资产的推荐、招揽或邀请。加密资产具有高波动性，存在价值损失风险。WEEX服务、产品及相关活动的可用性可能因地区而异。用户在参与前有责任确保符合当地适用法律法规。