Plex2Shellが実悪用、Plexサーバーの修正版とNAS・PCで調べる痕跡

Plexは2026年10月19日(UTC)の公式告知への追記で、Plex Media Serverの脆弱性群「Plex2Shell」が広く悪用され、公開サーバーに暗号資産の採掘ソフトや不正なプロキシソフトが設置されていると警告しました。

修正版は1.43.3.10861以降です。Plexは、これより古いサーバーをインターネットから到達できる状態にしていた場合、侵害された可能性があるものとして扱うよう求めています。

4件を組み合わせ、ログインなしでコードを実行

Plex2Shellは、CVE-2026-96652、CVE-2026-96654、CVE-2026-96655、CVE-2026-96656を組み合わせる攻撃です。サーバー内部へのリクエスト送信、内部機能へのアクセス、管理トークンの取得、ファイル書き込みを連鎖させます。

Plexと発見者の報告によると、この組み合わせにより、認証していない外部の攻撃者がPlex Media Serverのプロセス権限でコードを実行できます。CISAも、カタログ上の10月20日付で4件をKEVへ追加しています。

実悪用を観測した研究者は、おとりのPlexサーバーに採掘ソフトとプロキシソフトが送り込まれ、動作していたと報告しています。

対象はサーバー側のPlex Media Serverです。Plex Webの「Settings」→「General」でバージョンを確認し、1.43.3.10861未満なら更新してください。PCでは自動更新の適用を確認するか、Plex公式配布ページから最新のサーバー用インストーラーを取得します。

NASのパッケージ管理画面に修正版がまだない場合、Plexは公式の対象機種用パッケージを取得し、NASメーカーの手順に沿って手動で導入する方法も案内しています。

リモートアクセスが不要な場合、Plexは「Settings」→「Remote Access」で無効にし、不要なポート32400の直接転送を避けるよう案内しています。

Plexは、次の痕跡を調べるよう案内しています。

痕跡がある場合や侵害の有無を判断できない場合、Plexは古いデータディレクトリを再利用せず、クリーンな環境から再構築するよう案内しています。最低限の作業として、Codecsフォルダーの中身の削除と、Preferences.xmlに覚えのないトランスコーダー設定がないかの確認も挙げています。

Plexは、全端末からのサインアウトとPlexパスワードの変更も求めています。Plexは、サービスアカウントからアクセスできる共有フォルダーや、同じマシン・仮想マシンに保存した認証情報も、漏えいした可能性があるものとして扱うよう求めています。