En las semanas recientes se detectó actividad maliciosa dirigida a instancias de Plex Media Server vulnerable tras la publicación de un exploit conocido como Plex2Shell. El hallazgo fue documentado por el investigador que usa el alias boredhackerblog y el caso apareció en un seguimiento técnico fechado el 16 y 17 de octubre de 2026. El artículo con la cronología técnica y la posterior observación de intentos de explotación se publicó el 19 de octubre de 2026.
La cadena de ataques combina cuatro defectos distintos que, ejecutados en secuencia, permiten lograr ejecución remota de código sin autenticación. Las vulnerabilidades involucradas fueron reportadas originalmente a Plex por el investigador Zach Main el 27 de julio de 2026 y corregidas en la versión 1.43.3.10861 de Plex Media Server distribuida el 3 de agosto de 2026.
Descripción técnica de la cadena Plex2Shell y los CVE
La explotación aprovecha cuatro fallos encadenados, identificados como CVE-2026-96652CVE-2026-96654CVE-2026-96655 y CVE-2026-96656. Cada uno aporta una pieza necesaria para el ataque: desde forzar solicitudes internas hasta escribir y ejecutar código arbitrario.
Resumen de cada vulnerabilidad
CVE-2026-96652 (CVSS 5.3) es una SSRF en el endpoint /player/timeline que ocurre porque el parámetro protocol se inserta en una URL construida por el programa sin validación, permitiendo que el servidor Plex realice POST a destinos elegidos por el atacante.
CVE-2026-96654 (CVSS 6.9) consiste en una neutralización inadecuada de valores URL en searchOne que puede habilitar la invocación de funciones de otros plugins y la obtención del token de administrador del propietario.
CVE-2026-96655 (CVSS 5.3) es otra SSRF que permite a un usuario autenticado con el token del propietario solicitar direcciones internas o externas mediante la ruta /video/:/transcode/universal por ejemplo para descargar una carga útil ELF alojada por el atacante.
CVE-2026-96656 (CVSS 8.6) permite el control externo del nombre o ruta de un fichero, lo que posibilita escribir un objeto compartido ELF en una ruta elegida dentro del directorio de Codecs y ejecutarlo.
Explotación en el terreno y artefactos observados
Tras la publicación del PoC el 16 de octubre de 2026, se registraron intentos de explotación en la práctica al día siguiente, el 17 de octubre de 2026. Un despliegue observado descargó una carga desde el servidor remoto 217.60.194[.]116 que terminó en la ejecución de un proceso minero identificado como mylovelyminer (un XMRig) y en la instalación de un binario proxy denominado myawesomeproxy.
Las direcciones IP asociadas a los intentos incluyen 91.92.40[.]202176.65.139[.]228 y 45.194.92[.]222. El minero estaba configurado para conectar con el servidor de minería ota.proxystream[.]st. Además, otra subdominio relacionado, global.relay.proxystream[.]st fue señalado por Bitsight en agosto de 2026 en relación con la botnet AISURU DDoS y actividades de proxyware.
Comportamiento del proxy y mensaje observado
El programa myawesomeproxy mostró un mensaje al ejecutarse que advierte: «Running this software on any of your devices makes you agree to the potential external use of your internet traffic.» Ese texto sugiere que el binario actúa como un reverse proxy o puerta de salida para tráfico de terceros, ampliando el impacto más allá del mero minado de criptomonedas.
Se ha informado que posts en Reddit reflejaron compromisos con el mismo payload mylovelyminer aunque no está confirmado que todos los casos dependieran exclusivamente de la cadena Plex2Shell. Las versiones previas a 1.43.3.10828 aparecen como vulnerables en el repositorio del exploit, y la corrección apuntada es la versión 1.43.3.10861 publicada el 3 de agosto de 2026.
Ante la actividad observada, las acciones concretas y verificadas son mantener las instancias actualizadas a la versión parcheada, revisar procesos hijos inusuales y buscar binarios con nombres como myawesomeproxy o mylovelyminer además de inspeccionar conexiones salientes hacia dominios como ota.proxystream[.]st. Los registros de red y las capturas de paquetes pueden ayudar a identificar descargas y ejecuciones relacionadas.
La divulgación coordinada original incluyó también CVE-2026-96651 (CVSS 7.1), reportada por Zach Main junto al resto el 27 de julio de 2026. La existencia de explotación activa motivó alertas públicas y debería impulsar auditorías de servidores Plex expuestos, especialmente en despliegues en NAS y contenedores Docker.
