PSA: Patch your Plex media server before someone hacks it

安全提醒：在有人入侵之前修补你的 Plex 媒体服务器 - Ars Technica

漏洞利用肆虐

安全提醒：在有人入侵之前修补你的 Plex 媒体服务器

研究人员称，利用四个漏洞的攻击链正在入侵未打补丁的设备。

Dan Goodin

–

2026年10月19日 下午3:39

|

36

一张显示“此设备上运行着 Plex 媒体服务器”的屏幕截图。

来源：Plex

按钮

文本设置

面板

正文文本

尺寸

小号

标准

大号

宽度

*

宽屏

链接

橙色

• 仅限订阅者

了解更多

最小化到导航栏

最近修复的 Plex 媒体服务器漏洞正在被攻击者积极利用。成功攻击后，会安装恶意软件，包括加密货币挖矿程序和住宅代理应用，研究人员表示。

Plex 在上个月初修复了四个漏洞。三周后，公布的 CVE 编号显示存在五个漏洞，其中有一个漏洞的严重性评分为 10 分制中的 8.6 分。上周，一名研究人员披露了一个利用其中四个漏洞的攻击链，实现了对运行易受攻击 Plex 版本设备的远程代码执行。该研究人员将该攻击链命名为“Plex2Shell”。

复杂的攻击链

新披露的细节使另一名研究人员能够创建一个蜜罐，用于追踪野外尝试利用该漏洞链的攻击行为。一天之内，研究人员就观察到针对模拟 Plex 服务器的主动扫描，并最终成功感染设备的尝试。到目前为止，成功攻击会安装两种有效载荷。一种是加密货币挖矿程序，利用设备挖掘加密货币并将收益转入攻击者控制的钱包。另一种有效载荷是住宅代理软件，允许用户通过连接到受感染设备，将流量发送到最终目的地，从而匿名化其互联网活动（其中大部分是非法的）。

“Plex 可能托管在住宅 IP [sic] 上，我认为威胁行为者会非常乐意使用住宅 IP 代理来访问企业 VPN 和电子邮件，”第二位研究人员写道。

已发布的攻击链是第一位研究人员向 Plex 提交漏洞报告时包含的一个概念验证攻击的一部分。这段复杂的代码完成了一系列步骤，包括执行未经身份验证的 SSRF（服务器端请求伪造）、回环转换、安全令牌窃取、有效载荷传递，最终执行有效载荷。漏洞发现者表示，他“大量”使用了 AI 来开发该攻击链。具体步骤包括：

• 侦察：将系统分解为逻辑组件，绘制从用户输入到危险终点的每条路径。

• 猎取：按组件进行针对性漏洞搜索。

• 验证：启动独立代理尝试反驳每个发现。如果无法反驳漏洞，该漏洞很可能是真实的。

• 连接：找到

“这并不是告诉 LLM（大语言模型）‘去入侵 Plex’的问题，”研究人员写道。“这需要数小时的迭代工作、死胡同和重新优先排序。所有关于查找什么和优先处理什么的判断都由我做出。LLM 显著加速了这一过程，使我能够保持在更高层次上，只需指导整个流程。”

Plex 代表尚未立即回应提问。

使用 Plex 的用户应确保其运行版本为 1.43.3。该软件可以配置为自动安装更新，用户也可以手动下载并安装更新。由于存在活跃的利用行为，过时版本应立即更新。除此之外，用户应妥善保护媒体服务器。最安全的选项是将其访问限制在本地网络，避免暴露在互联网上。不过，这种选项会限制使用许多实用功能。当设备连接到开放互联网时，一个可行方案是通过反向代理路由流量，而不是使用默认端口 32400。用户还应仅使用安全的 Plex 应用程序。当然，强密码是必不可少的。

高级安全编辑

Dan Goodin 是 Ars Technica 的高级安全编辑，负责监督恶意软件、计算机间谍活动、僵尸网络、硬件黑客攻击、加密和密码等领域的报道。在空闲时间，他喜欢园艺、烹饪以及关注独立音乐场景。Dan 基于旧金山。可通过以下方式关注他：

here

在 Mastodon 和

上 Bluesky。可通过 Signal 以 DanArs.82 联系他。

36 条评论