Meerdere kwetsbaarheden in Plex Media Server worden actief misbruikt. Aanvallers gebruiken de beveiligingslekken om op afstand code uit te voeren en installeren daarmee onder meer cryptominingsoftware. Dat blijkt uit waarnemingen op een speciaal ingerichte honeypot.
De kwetsbaarheden zijn geregistreerd als CVE-2026-96652, CVE-2026-96654, CVE-2026-96655 en CVE-2026-96656. Door de lekken met elkaar te combineren, kunnen aanvallers een Plex-server op afstand overnemen. Plex bracht eerder beveiligingsupdates uit voor versie 1.43.2 en oudere versies.
Aanvallen op honeypot
Op 17 oktober werd voor het eerst een geslaagde aanval waargenomen. De eerste poging kwam vanaf IP-adres 45.194.92.222. Ook 91.92.40.202 en 176.65.139.228 werden in verband gebracht met exploitatie van de kwetsbaarheden.
Na aanpassing van de netwerkconfiguratie van de honeypot kon de onderzoeker zien dat een bestand werd opgehaald vanaf 217.60.194.116. Dat bestand bevatte een Docker-configuratie en uitvoerbare software voor cryptomining. De miner gebruikt rekenkracht van de besmette server om digitale valuta te genereren voor de aanvaller.
De aanvallers plaatsten later ook een programma met de naam ‘myawesomeproxy’. Dat lijkt de internetverbinding van een besmette Plex-server beschikbaar te stellen als proxy. Daardoor kan verkeer via het IP-adres van het slachtoffer worden geleid. De precieze werking van dit programma is nog niet volledig onderzocht.
De waarnemingen kwamen uit een honeypot, waardoor niet vaststaat hoeveel echte Plex-servers zijn getroffen. Wel nam de activiteit na de eerste aanval verder toe. De gevonden malware bevatte onder meer een ingepakte versie van XMRig, een veelgebruikte cryptominer.
Update noodzakelijk
Beheerders van Plex Media Server moeten controleren of hun installatie is bijgewerkt. Vooral systemen met versie 1.43.2 of ouder lopen risico. Ook is het verstandig om uitgaand netwerkverkeer van de server te controleren op onverwachte downloads en verbindingen.
Voor de vier kwetsbaarheden zijn detectieregels en technische hulpmiddelen gepubliceerd. Daarmee kunnen beheerders netwerkverkeer en bestanden die bij deze aanval worden gebruikt herkennen. De waarnemingen laten bovendien zien dat aanvallers niet alleen uit zijn op cryptomining, maar ook toegang tot besmette internetverbindingen proberen te benutten.
