Plex2Shell: Kritische Exploit-Kette zur Übernahme von Plex Media Servern für Krypto-Mining und Residential Proxies

Der Plex Media Server wird häufig auf dauerhaft laufenden Heimservern, NAS-Geräten oder in Docker-Umgebungen mit offener Port-Weiterleitung (Port 32400) betrieben. Seit kurzem nutzen Angreifer aktiv die kritische Schwachstellenkette "Plex2Shell", um ungepatchte Systeme zu kapern, Krypto-Miner (XMRig) und Proxy-Software (myawesomeproxy) zu installieren und damit sowohl Rechenleistung als auch private Internetanschlüsse missbräuchlich zu verwenden.

Wie funktioniert die Plex2Shell-Exploit-Kette?

Die Exploit-Kette setzt sich aus vier konkreten Einzelschwachstellen zusammen, die gemeinsam eine Remote-Code-Execution (RCE) mit maximaler CVSS-Bewertung 10.0 ermöglichen. Der technische Ablauf lässt sich in drei Hauptphasen unterteilen: SSRF-Ausnutzung, Administrator-Token-Diebstahl und das Einbringen einer manipulierten Shared Library in das Codec-Verzeichnis.

Die vier betroffenen CVEs (CVE-2026-96652 bis CVE-2026-96656)

• CVE-2026-96652: Server-Side Request Forgery (SSRF) im Player-Timeline-Endpunkt
• CVE-2026-96654: Umgehung im Plug-in-System zum Administrator-Token-Diebstahl
• CVE-2026-96655: Interne Weiterleitung via Transcoder
• CVE-2026-96656: Path Traversal zum Ablegen einer schädlichen Bibliothek im Codecs-Ordner

Technischer Ablauf von der SSRF bis zur Remote-Code-Execution

Der Plex-Server vertraut internen Anfragen an die Loopback-Adresse 127.0.0.1 fast blind. Angreifer registrieren ein Abspielgerät und übergeben dabei eine manipulierte Rückruf-Adresse. Der Server führt daraufhin interne Anfragen an sich selbst aus (SSRF) und nutzt einen Fehler im Python-basierten Plug-in-System, um das Administrator-Owner-Token zu extrahieren. Mit diesem Token erhalten die Angreifer uneingeschränkten API-Zugriff, selbst nach einem Neustart des Dienstes. Anschließend wird über eine manipulierte Videodatei eine schädliche Shared Library (.so/.dll) in das Verzeichnis "Codecs" geladen. Plex führt diese Bibliothek automatisch aus, sobald eine Videodatei transkodiert wird, wodurch die Payload dauerhaft im System verankert ist.

Umfang der Bedrohung - weltweite und regionale Expositionsdaten

Laut Scans der Non-Profit-Sicherheitsorganisation Shadowserver waren zum Zeitpunkt der ersten Honeypot-Angriffe rund 49 000 Plex-Server weltweit direkt aus dem Internet erreichbar und daher potenziell verwundbar. Der regionale Fokus liegt dabei auf Nordamerika (ca. 25 100 Server) und Europa (ca. 17 600 Server). Diese Zahlen stammen aus dem Shadowserver-Tag "vulnerable-plex" und werden von mehreren Fachquellen bestätigt (Gizmodo, 2026).

• Weltweite verwundbare Plex-Instanzen: ~49 000 Server (2026)
• Verwundbare Instanzen in Europa: ~17 600 Server (2026)
• CVSS-Score der kombinierten Exploit-Kette: 10.0 (kritisch)
• Bug-Bounty-Prämie für den Entdecker Zach Main: 500 US-$

Risiken für betroffene Server und Nutzer

Die aktive Ausnutzung der Plex2Shell-Kette birgt mehrere schwerwiegende Gefahren:

• Krypto-Mining: Installation von XMRig zur heimlichen Berechnung von Kryptowährungen.
• Residential Proxy: Das Programm myawesomeproxy verwandelt den Heimserver in einen Knotenpunkt für fremden Datenverkehr, was zu strafrechtlichen Ermittlungen und Provider-Sperren führen kann.
• Haftungs- und Missbrauchsrisiko: Durch den missbräuchlichen Einsatz des eigenen Internetanschlusses können Dritte über die IP-Adresse des Opfers in andere Netzwerke eindringen.
• False Positives bei Port-Scans: Nicht alle exponierten Ports 32400 sind tatsächlich angreifbar - Server hinter Reverse-Proxies oder in isolierten VLANs können trotz veralteter Version sicher sein.

FAQ zur Plex2Shell-Exploitation

• Welche CVE-Nummern gehören offiziell zu Plex2Shell?
  Die Exploit-Kette setzt sich aus vier Schwachstellen zusammen: CVE-2026-96652 (SSRF im Player-Timeline-Endpunkt), CVE-2026-96654 (Umgehung im Plug-in-System zum Token-Diebstahl), CVE-2026-96655 (interne Weiterleitung via Transcoder) sowie CVE-2026-96656 (Path Traversal zum Ablegen der Schad-Bibliothek im Codecs-Ordner).
• Wie bereinige ich einen Plex-Server, der bereits infiziert wurde?
  Stoppen Sie den Plex-Dienst, löschen Sie den Inhalt des Verzeichnisses "Codecs" komplett und durchsuchen Sie das System nach Prozessen wie "myawesomeproxy" oder "xmrig". Ändern Sie danach umgehend Ihr Plex-Passwort und wählen Sie "Von allen Geräten abmelden", um das gestohlene Administrator-Token ungültig zu machen.
• Löscht Plex beim regulären Update manipulierte Dateien im Codecs-Verzeichnis?
  Nein. Ein Update auf Version 1.43.3.10861 oder neuer schließt lediglich das Einfalltor, belässt aber bereits abgelegte bösartige .so- oder .dll-Dateien im Dateisystem. Diese müssen Administratoren manuell entfernen.
• Reicht es, den Plex-Miner zu beenden?
  Nein, laut Nick Percoco, Sicherheitschef von Kraken, nistet sich die Schadsoftware im Codecs-Verzeichnis ein. Beendet ihr nur den Miner, startet der Schadcode erneut, sobald der Server das nächste Mal eine Videodatei transkodiert.

Notwendige Forensik: Token-Revokation und Codec-Bereinigung

Weil Angreifer im ersten Schritt das Admin-Token extrahieren, reicht das Einspielen des Patches nach erfolgter Infektion nicht aus. Betroffene müssen zwingend alle angemeldeten Geräte und Sitzungen in ihrem Plex-Konto abmelden, das Passwort ändern und das Verzeichnis vollständig leeren, da Plex legitime Codecs beim nächsten Abspielen automatisch nachlädt.

Praktische Gegenmaßnahmen - Schritt-für-Schritt-Anleitung

1. Aktualisieren Sie sofort auf Plex-Version 1.43.3.10861 oder neuer. Unter Windows und macOS ist das über die integrierten Einstellungen möglich; bei Linux, Docker oder NAS ist ein manuelles Update erforderlich.
2. Stoppen Sie den Plex-Dienst (z. B. systemctl stop plexmediaserver ).
3. Löschen Sie das komplette Codecs -Verzeichnis im Plex-Anwendungsdatenordner.
4. Durchsuchen Sie das Dateisystem nach verdächtigen Prozessen (z. B. myawesomeproxy, xmrig ) und beenden Sie diese.
5. Setzen Sie Ihr Plex-Passwort zurück und nutzen Sie die Web-Oberfläche, um "Von allen Geräten abmelden" zu aktivieren, damit das gestohlene Administrator-Token ungültig wird.
6. Überprüfen Sie Ihre Firewall- und Port-Weiterleitungseinstellungen. Schalten Sie, falls möglich, die öffentliche Erreichbarkeit des Ports 32400 ab oder setzen Sie ein Reverse-Proxy-Authentifizierungssystem ein.

Wie installiere ich das Plex-Update?

Unter Windows und macOS kann das Update über die Plex-Einstellungen eingespielt werden; die Option ist standardmäßig auf "Ask me" gestellt und installiert nicht automatisch. Unter Linux, in Docker-Containern oder auf NAS-Systemen muss das Update entweder über die jeweilige Paketverwaltung (z. B. apt-get upgrade plexmediaserver ) oder durch manuelles Herunterladen des Installationspakets von der offiziellen Plex-Website durchgeführt werden.

Fazit

Die Plex2Shell-Exploit-Kette kombiniert vier schwerwiegende Schwachstellen zu einer hochkritischen Remote-Code-Execution mit einem CVSS-Score von 10.0. Weltweit sind bis zu 49 000 Plex-Server - darunter rund 17 600 in Europa - nach wie vor exponiert. Ein reines Software-Update schließt das Einfallstor, entfernt jedoch nicht bereits platzierte Schadcode-Bibliotheken. Deshalb sind neben dem Update auch die manuelle Revokation des Administrator-Tokens und die vollständige Bereinigung des Codecs -Verzeichnisses unabdingbar. Durch konsequente Patch-Einspielung, strenge Netzwerk-Absicherung und die beschriebenen Forensik-Schritte können Betreiber die Gefahr von Krypto-Mining, missbräuchlichen Residential Proxies und damit verbundenen Haftungsrisiken wirksam eindämmen.