Plex2Shell 漏洞链已被实战利用,未认证 RCE 攻击老旧 Plex 服务器
evilsocket · x · 2026-10-19
安全研究人员报告,一个暴露公网的 Plex 蜜罐于 10 月 17 日被利用四个新披露漏洞(CVE-2026-96652/54/55/56)的漏洞链攻破,可实现未认证远程代码执行(CVSS 3.1 满分 10.0),影响 Plex Media Server < 1.43.3.10828,已在 1.43.3.10861 修复。
- 攻击链起点是 /player/timeline 协议参数的未认证 SSRF,再经回环 pivot 与标识符注入等环节最终拿到 RCE
- 观测到的载荷包括 XMRig 挖矿程序和名为 myawesomeproxy 的代理工具,可借失陷家用宽带转发出网
- PoC 已开源(GPL-3.0,含 exp 脚本、Windows/Linux 载荷与检测规则)
- 中招迹象:Plex Media Server 启动可疑子进程,命令行含 myawesomeproxy、mylovelyminer、x12345、--rig-id、--donate-level、proxystream[.]st 等
建议尽快升级到 1.43.3.10861 以上版本。
所属事件:Plex 四漏洞利用链遭实战利用，老旧服务器面临挖矿攻击(2 条相关)→
「安全」频道最新
- PHP 爆两个未认证 RCE 漏洞，ProjectDiscovery 推全网免费告警服务 — cyb3rops · 2026-10-23
- Arista VeloCloud SQL 注入漏洞 CVSS 9.9 遭在野利用，最低权限可变超级用户 — AIFlow_ML · 2026-10-23
- Bindu Reddy 调侃安全恐慌：世界没灭亡，Anthropic 还说会更糟 — bindureddy · 2026-10-23
- 银行业人士称 AI 浏览器安全恐慌属「自循环闹剧」：都是用户自己的账号 — daniel_mac8 · 2026-10-23
- AI 时代机制设计新题：给不可逆操作引入时间摩擦防 AI 诈骗 — Afinetheorem · 2026-10-23
- Anthropic 发布 Cyber Mission:保护电网与开源软件安全 — inductionheads · 2026-10-23