【安全圈】四漏洞连环击穿！Plex遭武器化利用植入挖矿木马|plex|令牌|安全漏洞|宿主机|服务器|武器化|黑客

关键词

漏洞

核心事件快报：开源多媒体服务器巨头 Plex Media Server 曝出名为“Plex2Shell”的高危漏洞利用链。安全研究员公开技术细节及概念验证（PoC）后不足 24 小时，在野攻击者已将其完全武器化，对公网暴露的未打补丁服务器展开大规模全自动扫描与远程代码执行（RCE）。黑客攻陷服务器后，立即植入 XMRig 门罗币挖矿程序与隐蔽 Linux 代理后门，将受害者主机接入僵尸网络。

连环漏洞机理：四重弱点串联实现无认证 RCE

根据披露报告，Plex2Shell 利用链并非单一漏洞，而是由安全研究员 Zach Main 提交的 4 个中高危缺陷环环相扣构建而成。攻击者完全无需身份认证，仅通过外部 HTTP 请求即可一步步提权并最终在宿主系统落地执行任意二进制指令：

第一环 · 无认证 SSRF（CVE-2026-96652，CVSS 5.3）
：服务器/player/timeline接口对传入的protocol参数缺乏合法性校验，将其直接拼接进系统播放器请求 URL，使外部未授权攻击者能够诱导 Plex 服务器向内网或指定目标发起任意 HTTP POST 请求。
第二环 · 参数注入与管理员令牌失窃（CVE-2026-96654，CVSS 6.9）
：/searchOne接口存在 URL 过滤中和缺陷。攻击者借此调用内部插件未公开函数并注入自选参数，强行提取出服务器属主的完整超级管理员凭证（X-Plex-Token）。
第三环 · 认证后转码通道 SSRF（CVE-2026-96655，CVSS 5.3）
：获取属主令牌后，攻击者向/video/:/transcode/universal路径发起调用，驱使 Plex 服务端拉取攻击者预先架设的载体流媒体，该媒体文件中暗藏了恶意的 Linux ELF 动态链接库。
第四环 · 路径穿越与目录任意写入（CVE-2026-96656，CVSS 8.6）
：Plex 内部对编解码器（Codecs）的下载存储路径校验失效。攻击者将恶意动态链接库（.so）强行落盘至 Codecs 目录并触发动态加载，瞬间完成宿主机层面的非授权代码执行。

⚡ 在野武器化分析：挖矿与流量中继双重压榨

网络威胁监测机构 boredhackerblog 与多地蜜罐日志显示，攻击者在攻陷宿主机后会迅速通过 curl 或 wget 下载名为x12345的 Shell 初始化脚本，并同时投放两个关键恶意进程：

XMRig 门罗币挖矿程序
：进程被重命名为mylovelyminer，连接至外部矿池节点ota.proxystream[.]st，强行吃满宿主机的 CPU 核心与 GPU 计算算力。
隐蔽 Linux 代理后门
：恶意载荷myawesomeproxy在后台静默运行。VirusTotal 样本分析确认其为流量穿透与反向代理代理件，运行时直接打印提示免责声明，将失陷主机的家庭或机房公网出口转变为商业代理流量池。
关联僵尸网络
：Bitsight 威胁情报确认，回连域名global.relay.proxystream[.]st与此前活跃的 AISURU / Kimwolf 僵尸网络直接同源，表明该批失陷设备已被整体收编入分布式代理网络。

️ 受害范围与紧急阻断处置方案

Plex 官方已在Plex Media Server 1.43.3.10861及以上版本中彻底修复了上述漏洞链。但由于媒体服务器通常部署在家庭 NAS、自建 VPS 或私有云上，自动更新率相对较低，公网仍有大量资产裸奔。建议管理员立即排查：

核对版本并立即升级
：检查当前 Plex 服务端版本，凡低于 1.43.3.10861 的实例必须立即停机升级；升级完成前切勿将 32400 端口直连公网。
排查可疑进程与计划任务
：在 Linux 控制台运行ps aux | grep -E "x12345|mylovelyminer|myawesomeproxy"，发现立即强行杀除；检查/etc/crontab及用户定时任务目录。
清理 Codecs 缓存目录
：定位 Plex 数据根目录下的Codecs文件夹（如/var/lib/plexmediaserver/Library/Application Support/Plex Media Server/Codecs/），检查近期新生成的未知.so文件。
封禁攻击者 IP 与域名
：在防火墙上对以下已知攻击源与 C2 节点配置双向拦截：
- 217.60.194[.]116
  （恶意脚本分发站）
- 91.92.40[.]202
  、176.65.139[.]228、45.194.92[.]222（在野扫描利用源）
- ota.proxystream[.]st
  、global.relay.proxystream[.]st（C2 代理与矿池）
重置 Plex 账户密钥与访问令牌
：登录 Plex 官网，在账户安全中选择“注销所有设备”（Sign out connected devices），强制失效旧版令牌以防凭据被持续复用。