Plex2Shell: Angriffe auf ungepatchte Plex Media Server laufen

Für die Schwachstellenkette Plex2Shell in Plex Media Server gibt es seit dem 17. Oktober 2026 dokumentierte Angriffe. Plex hat am 19. Oktober im eigenen Forum bestätigt, dass die vier Lücken CVE-2026-96652, CVE-2026-96654, CVE-2026-96655 und CVE-2026-96656 aktiv und breit ausgenutzt werden. Zusammen erlauben sie einem nicht angemeldeten Angreifer, Code mit den Rechten des Plex-Dienstes auszuführen. Betroffen sind alle Server vor Version 1.43.3.10861.

Wer Plex Media Server betreibt, sollte heute die Version prüfen. Server mit älterem Stand, die aus dem Internet erreichbar sind, gelten laut Plex als möglicherweise kompromittiert. Nicht betroffen sind Installationen ab 1.43.3.10861. Relevant ist das auch für Firmen, denn Plex läuft oft auf NAS-Systemen in Büro und Homeoffice.

Was ist passiert?

Der Sicherheitsforscher Zach Main hat die Kette am 27. Juli 2026 an Plex gemeldet. Plex bestätigte die Funde laut SecurityWeek am 4. August. Am 1. September veröffentlichte Plex eine Sicherheitswarnung zu Plex Media Server 1.43.3 und Plex Desktop 1.115.0, zunächst ohne CVE-Details. Am 16. Oktober erschien der technische Bericht des Forschers samt öffentlichem Proof of Concept auf GitHub.

Einen Tag später, am Morgen des 17. Oktober, sah der Betreiber des Blogs boredhackerblog auf einem absichtlich verwundbaren Plex-Honeypot die ersten echten Angriffe. Die Angreifer nutzten den veröffentlichten Exploit und luden einen Kryptominer auf Basis von XMRig nach. Später am selben Tag tauchte zusätzlich das Programm myawesomeproxy auf, eine Proxy-Software, die fremden Datenverkehr über den Anschluss des Opfers leitet. Am 19. Oktober ergänzte Plex die CVE-Liste und bestätigte die Angriffe.

Wie die Kette funktioniert

Laut dem Bericht des Forschers und der Plex-Übersicht greifen vier Fehler ineinander:

• CVE-2026-96652: Server-Side Request Forgery ohne Anmeldung im Endpunkt /player/timeline. Geprüft wird nur, ob ein Token vorhanden ist, nicht ob es gültig ist. Der Server sendet so Anfragen an sich selbst über 127.0.0.1.
• CVE-2026-96654: Zugriff auf interne Agent-Funktionen über die Loopback-Schnittstelle, die dort ohne Token erreichbar sind.
• CVE-2026-96655: Preisgabe des Admin-Tokens des Server-Besitzers. Damit hat der Angreifer volle Kontrolle über den Server.
• CVE-2026-96656: Schreiben beliebiger Dateien in das Codecs-Verzeichnis über Transcoder-Einstellungen. Die abgelegte Bibliothek wird beim nächsten Transcoding geladen und ausgeführt.

The Hacker News nennt CVSS-Werte zwischen 5,3 und 8,6 für die Einzellücken. Erst die Kombination ergibt eine Remote Code Execution ohne Zugangsdaten.

Wer ist betroffen?

• Alle Installationen von Plex Media Server älter als 1.43.3.10861, unabhängig vom Betriebssystem.
• Am stärksten gefährdet sind Server, die direkt aus dem Internet erreichbar sind, etwa über eine Portweiterleitung auf Port 32400 oder den Fernzugriff von Plex.
• NAS-Geräte, deren Paketverwaltung die neue Version noch nicht anbietet.
• Indirekt betroffen sind Netze, in denen ein solcher Server steht: Plex weist darauf hin, dass alles, was das Plex-Dienstkonto erreichen kann, als möglicherweise offengelegt gelten muss, etwa eingebundene Freigaben und auf derselben Maschine gespeicherte Zugangsdaten.

Nicht betroffen sind Server ab Version 1.43.3.10861. Ob Server ohne Erreichbarkeit aus dem Internet über das lokale Netz angegriffen werden, beschreiben die Quellen nicht. Die beobachteten Angriffe richten sich gegen öffentlich erreichbare Instanzen.

Wie kritisch ist das?

Akut. Es gibt einen öffentlichen Exploit, bestätigte Angriffe und eine Herstellerwarnung. Der Schadcode läuft mit den Rechten des Plex-Dienstes, nicht automatisch mit Root-Rechten. Für Unternehmen ist vor allem die Proxy-Komponente heikel. Der Honeypot-Betreiber schreibt, dass Plex oft an privaten Anschlüssen läuft und Angreifer solche Wohnadressen gern nutzen, um auf Firmen-VPNs und E-Mail-Konten zuzugreifen. Laut The Hacker News stuft VirusTotal myawesomeproxy als Linux-Backdoor mit Reverse-Proxy-Funktion ein.

Was Admins jetzt tun sollten

• Inventar prüfen: Alle Plex-Media-Server-Instanzen erfassen, auch auf NAS, in Docker und auf Heimservern mit VPN-Zugang ins Firmennetz. In Plex Web unter Settings, General die Version ablesen. Sollstand ist 1.43.3.10861 oder neuer.
• Sofort aktualisieren. Für Docker-Installationen verweist Plex auf das README des Repositorys pms-docker, für NAS auf die manuelle Paketinstallation.
• Prozesse prüfen, die Plex Media Server gestartet hat, besonders mit Namen wie myawesomeproxy, mylovelyminer oder x12345.
• Den Codecs-Ordner von Plex auf unbekannte Bibliotheken mit den Endungen .so oder .dll untersuchen und die Preferences.xml auf Transcoder-Optionen, die niemand gesetzt hat.
• Ausgehende Verbindungen zu proxystream.st sowie dauerhaft hohe CPU-Last ohne laufende Wiedergabe in Firewall- und Monitoring-Daten suchen.
• Die vom Honeypot gemeldeten Angreifer-Adressen (nur dort beobachtet) 91.92.40[.]202, 176.65.139[.]228 und 45.194.92[.]222 sowie die Download-Quelle 217.60.194[.]116 in Logs abgleichen.
• Bei Treffern oder unklarer Lage den Server laut Plex aus einer sauberen Installation neu aufbauen, statt das alte Datenverzeichnis weiterzuverwenden, alle Geräte im Plex-Konto abmelden und das Passwort ändern.
• Fernzugriff abschalten, wenn er nicht gebraucht wird, und Port 32400 nicht direkt weiterleiten. Zugriff von außen besser über ein VPN führen.

Einordnung für Unternehmen

Plex ist selten ein offizieller Firmendienst, steht aber in vielen kleinen Betrieben auf einem NAS im Büro oder im Homeoffice. Der Patch ist seit Wochen verfügbar, die Angriffe begannen einen Tag nach dem öffentlichen Exploit. Heute sollte geprüft werden, welche Geräte Port 32400 nach außen öffnen. Offen ist, wie viele Server kompromittiert wurden. Einzelne Berichte auf Reddit über den Miner mylovelyminer lassen sich laut The Hacker News noch nicht sicher Plex2Shell zuordnen.

Passende Anleitungen auf S-EDV

• WireGuard-VPN für Homeoffice und Standorte einrichten: Fernzugriff auf Dienste über VPN statt offener Portweiterleitung.
• Linux-Server mit UFW und Fail2ban absichern: Grundhärtung für Server, auf denen Medienserver laufen.
• Jellyfin Media Server mit Docker einrichten: Medienserver im Container mit klar getrennten Verzeichnissen betreiben.

Quellen

• Plex Forum: Sicherheitsupdate für Plex Media Server 1.43.2 und älter, mit Update vom 19.10.2026 zu CVEs und Ausnutzung
• Zach Main: Plex2Shell, technischer Bericht vom 16.10.2026
• boredhackerblog: Beobachtete Ausnutzung auf einem Plex-Honeypot vom 17.10.2026
• SecurityWeek: Plex2Shell wenige Stunden nach Veröffentlichung ausgenutzt
• The Hacker News: Angreifer installieren Kryptominer und Linux-Proxy über Plex2Shell