سرور Plex شما می تواند رمزنگاری را برای هکرها استخراج کند

Plex در ماه آگوست یک به‌روزرسانی امنیتی ارسال کرد که زنجیره‌ای از باگ‌ها را بسته و به هر کسی که می‌تواند به سرور Plex Media در معرض نمایش کد دسترسی پیدا کند، می‌تواند کد را روی آن اجرا کند. در یک حساب عمومی دقیق، یک علاقه‌مند که بعدا یک سرور آسیب‌پذیر را به‌عنوان یک هانی‌پات معرفی کرد، می‌گوید مهاجمان از همان زنجیره در روز شنبه برای حذف یک ماینر رمزنگاری و نرم‌افزار پراکسی مسکونی استفاده کردند که به افراد دیگر اجازه می‌دهد ترافیک خود را از طریق اتصال اینترنت خانگی قربانی هدایت کنند و اساسا بدون اطلاع قربانی از آن به عنوان VPN استفاده می‌کنند.

این باگ ها در اصل توسط یک محقق امنیتی که توسط ZM به صورت آنلاین انجام می شود، پیدا شد. در یک گزارش فنی که روز پنجشنبه منتشر شد، ZM یک زنجیره اجرای کد از راه دور تایید نشده را توصیف کرد که او آن را Plex2Shell می نامد. به طور خلاصه، یک مهاجم بدون لاگین واقعی می‌تواند سرور را فریب دهد تا توکن مدیریت صاحب آن را تحویل دهد، سپس یک فایل مخرب نصب کند که دفعه بعد که Plex یک ویدیو را رمزگذاری می‌کند، اجرا می‌شود. رشته های زنجیره ای چهار آسیب پذیری را با نام های CVE-2026-96652، CVE-2026-96654، CVE-2026-96655 و CVE-2026-96656 ردیابی می کند. سرورهای تحت تأثیر آنهایی هستند که نسخه‌های قبل از 1.43.3.10861 را اجرا می‌کنند.

در همان زمان، یک وبلاگ نویس ناشناس که boredhackerblog را اداره می کند، منتظر فاش شدن این جزئیات بود. او نوشت: "به عنوان یک فرد infosec و یک کاربر Plex، من واقعا کنجکاو بودم که ببینم این vuln چیست و آیا می توانم بهره برداری در طبیعت را ببینم یا خیر." او یک هانی پات را روی یک پلکس قدیمی چرخاند. آنها روز شنبه گزارش دادند: «از صبح امروز (هفدهم اکتبر)، من بالاخره شاهد بهره‌برداری وحشی با استفاده از کد اکسپلویت از github نویسندگان بودم. اولین بار یک ماینر کریپتو بود.

بعدا در همان روز، آنها همچنین ابزاری به نام myawesomeproxy را دیدند که اعلامیه‌ای چاپ می‌کند مبنی بر اینکه اجرای آن به معنای موافقت با «استفاده خارجی بالقوه از ترافیک اینترنت شما» است. به عبارت دیگر، مهاجمان جعبه را به یک پروکسی مسکونی تبدیل می‌کردند، نوعی که سایر هکرها اجاره می‌دهند تا شبیه ترافیک معمولی به نظر برسد و در عین حال آدرس‌های IP خود را نیز پنهان می‌کنند.

نیک پرکوکو، افسر ارشد امنیت کراکن، روز یکشنبه در یک پست X به حمله هانی پات اشاره کرد. او نوشت: «اگر Plex را در خانه اجرا می‌کنید، همین امروز آن را به‌روزرسانی کنید،» و افزود: «بار در پوشه Codecs Plex قرار می‌گیرد و هر بار که چیزی رمزگذاری می‌شود دوباره اجرا می‌شود، بنابراین کشتن ماینر آن را برطرف نمی‌کند.»

بسیاری از مردم هنوز سرورهای Plex خود را وصله نکرده اند. داده‌های Shadowserver روی میزبان‌هایی که دارای برچسب آسیب‌پذیری هستند نشان می‌دهد که تا روز شنبه نزدیک به 49000 نفر هنوز در معرض خطر هستند، از جمله حدود 25100 در آمریکای شمالی و حدود 17600 در اروپا.

Plex در طول سال ها سهم خود را از حوادث امنیتی داشته است. در سپتامبر 2025، Plex به کاربران گفت که پس از دسترسی یک طرف غیرمجاز به ایمیل‌ها، نام‌های کاربری و رمزهای عبور هش‌شده، رمز عبور خود را بازنشانی کنند. یک ماه قبل، پس از گزارش باگ بوونتی جداگانه، Plex به کاربران ایمیل زد و به آنها گفت که به نسخه 1.42.1 به روز رسانی کنند. هفته‌ها بعد، با وجود اینکه بسیاری از سرورها هنوز آسیب‌پذیر هستند، کار فراتر رفت.

Plex نوشت: "در ادامه گزارش اصلی و با احتیاط فراوان به دلیل جمعیتی از سرورها که هنوز روی نسخه سرور آسیب‌دیده Plex Media Server (نسخه‌های 1.41.7.x تا 1.42.0.x) هستند، ما تنظیماتی را برای دسترسی به سرورهای آسیب‌دیده انجام داده‌ایم. به طور خاص، سایر کاربرانی که مالک سرور به آنها اجازه دسترسی به سرور را داده است، نمی‌توانند در زمانی که سرور نسخه آسیب‌دیده را اجرا می‌کند، به آن متصل شوند. این نقص اکنون به عنوان CVE-2025-34158 ردیابی شده است.

هک قبلی LastPass همچنین نشان می‌دهد که خطرات مربوط به این نوع آسیب‌پذیری در نرم‌افزار سرور Plex می‌تواند بسیار زیاد باشد. در سال 2023، LastPass گفت که مهاجمان "با هدف قرار دادن کامپیوتر خانگی مهندس DevOps و سوء استفاده از یک بسته نرم افزاری آسیب پذیر رسانه ای شخص ثالث، که قابلیت اجرای کد از راه دور را فعال می کند و به عامل تهدید اجازه می دهد بدافزار Keylogger Archn Technica را نصب کند، وارد کامپیوتر خانگی یک مهندس DevOps شده اند."

Ars گزارش داد که فردی که در مورد یک گزارش خصوصی LastPass گزارش شده بود، بسته را به عنوان Plex شناسایی کرد. با این حال، LastPass و Plex به طور عمومی آن پیوند را با جزئیات مشابه تأیید نکرده اند. در هر صورت، این نسخه کابوس‌آمیز آن چیزی است که یک سرور Plex مسکونی آسیب‌پذیر با کشف یک اکسپلویت اجرای کد از راه دور تبدیل می‌شود.