Plex sunucularındaki Plex2Shell açıkları ayrıntılar yayımlandıktan bir gün sonra saldırılarda kullanılmaya başlandı

Güvenlik araştırmacısı Zach Main, 16 Ekim’de Plex Media Server’da bulduğu ve Plex2Shell adını verdiği açık zincirinin ayrıntılarını yayımladı. Plex Media Server, insanların kendi film, dizi ve müzik arşivlerini evdeki bilgisayar, NAS cihazı ya da kiralık sunucu üzerinden yayınlamak için kullandığı bir yazılım. Uzaktan izleyebilmek için çoğu zaman doğrudan internete açılıyor. Main’in anlattığı dört açık art arda kullanıldığında, internetteki bir saldırgan hiçbir hesaba giriş yapmadan sunucuda kendi kodunu çalıştırabiliyor.

Ayrıntıların yayımlanmasının ertesi günü saldırılar başladı. The Hacker News’in aktardığına göre bir araştırmacı, açık zincirinin sunuculara XMRig kripto para madencisi ve “myawesomeproxy” adlı bir Linux arka kapısı kurmak için kullanıldığını gözlemledi. Arka kapı, sunucunun internet bağlantısını başkalarının kullanımına açan bir ara sunucu gibi çalışıyor. Madencinin bağlandığı alan adının bir başka alt alanı, Ağustos’ta AISURU adlı DDoS ve vekil sunucu botnetiyle ilişkilendirilmişti. Reddit’te de birçok Plex kullanıcısı sunucularında aynı madenciyi bulduğunu yazdı, ancak bunların hepsinin bu açıklardan kaynaklandığı doğrulanmış değil.

Açık zincirinin işleyişi

Plex, kendi bilgisayarından (127.0.0.1) gelen isteklere büyük ölçüde güveniyor. Ayrıca kendi kendine gönderdiği isteklere sunucu sahibinin yönetici anahtarını otomatik olarak ekliyor. Zincir bu iki güveni kullanıyor:

• CVE-2026-96652 (CVSS 4.0: 5.3): /player/timeline adresindeki yetki kontrolü, anahtarın yalnızca var olup olmadığına bakıyor, geçerli olup olmadığına bakmıyor. Rastgele bir anahtarla gönderilen istek, sunucunun kendi kendine istek göndermesini sağlıyor. Bu bir SSRF açığı.
• CVE-2026-96654 (CVSS 4.0: 6.9): searchOne adresindeki bir ayıklama hatası, bu iç istek üzerinden sunucu sahibinin yönetici anahtarının ele geçirilmesine izin veriyor.
• CVE-2026-96655 (CVSS 4.0: 5.3): Yönetici anahtarıyla, sunucuya saldırganın sunucusundaki bir “video” dosyasını indirtmek mümkün oluyor. Bu dosyanın içinde zararlı bir program saklı.
• CVE-2026-96656 (CVSS 4.0: 8.6): Bir dosya yolu denetimi hatası, bu programın Plex’in codec klasörüne yazılıp çalıştırılmasını sağlıyor.

Main, açıkları bulurken yapay zekâ modellerinden yoğun biçimde yararlandığını da anlatıyor. Plex’e ayrıca bir dizin dışına çıkma açığı (CVE-2026-96651, CVSS 4.0: 7.1) da bildirildi.

Etkilenen sürümler

• Plex Media Server 1.43.3.10861 öncesi bütün sürümler

Main açıkları 27 Temmuz’da Plex’e bildirdi. Plex düzeltmeleri Ağustos’ta 1.43.3 sürümüyle yayımladı ve Eylül başında kullanıcılarını güncellemeye çağırdı. CVE kayıtları 23 Eylül’de yayımlandı.

Önerilen önlemler

Plex Media Server’ı en az 1.43.3.10861 sürümüne güncelleyin. Synology, QNAP gibi NAS cihazlarının uygulama mağazaları güncellemeleri geç yayımlayabiliyor. Mağazada yeni sürüm yoksa paketi Plex’in sitesinden indirip elle kurmak gerekebilir. Docker kullanıyorsanız konteynerin yeni imajla yeniden oluşturulduğundan emin olun.

Uzaktan izlemeyi kullanmıyorsanız Plex ayarlarından uzaktan erişimi kapatın, modeminizde Plex için açılmış bir port yönlendirmesi (genellikle 32400) varsa kaldırın. Sunucunuzda tanımadığınız işlemler, sürekli yüksek işlemci kullanımı ya da Plex’in codec klasöründe bilmediğiniz dosyalar görürseniz sunucunun ele geçirilmiş olabileceğini düşünün. Bu durumda güncellemek yetmez, sunucuyu temizleyip Plex hesabınızın şifresini değiştirmeniz gerekir.