La cadena de exploits de Plex2Shell se utilizó contra los servidores de Plex pocas horas después de su divulgación

Un grupo de ata­can­tes co­men­zó a en­fo­car sus ac­cio­nes en Plex2Shell, una ca­de­na com­pues­ta por cua­tro fa­llas de se­gu­ri­dad pre­sen­tes en Plex Media Ser­ver, solo un día des­pués de que se hi­cie­ran pú­bli­cos los de­ta­lles téc­ni­cos y un có­di­go de ex­plo­ta­ción fun­cio­nal. El in­ves­ti­ga­dor des­cu­brió estas vul­ne­ra­bi­li­da­des y pu­bli­có un aná­li­sis junto con un có­di­go de prue­ba de con­cep­to el 16 de oc­tu­bre, es­tan­do iden­ti­fi­ca­das como CVE-2026-96652, CVE-2026-96654, CVE-2026-96655 y CVE-2026-96656. Estos fa­llos per­mi­ten la eje­cu­ción de có­di­go ar­bi­tra­rio en ser­vi­do­res ex­pues­tos sin ne­ce­si­dad de con­tar con cre­den­cia­les vá­li­das, ope­ran­do con los mis­mos pri­vi­le­gios asig­na­dos al ser­vi­cio Plex.

Los pro­ble­mas fue­ron co­mu­ni­ca­dos a la em­pre­sa en­car­ga­da el 27 de julio, la cual los con­fir­mó y otor­gó una re­com­pen­sa por erro­res a prin­ci­pios de agos­to, anun­cian­do pos­te­rior­men­te que ya había dis­tri­bui­do las co­rrec­cio­nes y so­li­ci­ta­do a los ad­mi­nis­tra­do­res que ac­tua­li­za­ran sus sis­te­mas. No obs­tan­te, un in­ves­ti­ga­dor de­tec­tó la ac­ti­vi­dad ma­li­cio­sa me­dian­te el uso de una si­mu­la­ción se­ñue­lo co­nec­ta­da a in­ter­net que eje­cu­ta­ba una ver­sión vul­ne­ra­ble. Mien­tras que antes de una fecha de­ter­mi­na­da el se­ñue­lo solo había re­gis­tra­do ex­plo­ra­cio­nes de re­co­no­ci­mien­to y ata­ques ge­né­ri­cos, en la ma­ña­na del 17 de oc­tu­bre se ob­ser­vó una ex­plo­ta­ción real en la que los agre­so­res em­plea­ron el ex­ploit de ac­ce­so pú­bli­co, po­si­ble­men­te con mo­di­fi­ca­cio­nes.