Eine Kette aus vier Lücken in Plex Media Server erlaubt Codeausführung ohne Zugangsdaten. Der Exploit wurde am 16. Oktober veröffentlicht. Schon am 17. Oktober sah ein Forscher auf einem Köder-Server die ersten Angriffe. Die Täter installierten einen Krypto-Miner und Proxy-Software. Plex hat die Fehler seit dem 1. September behoben.
Ein Tag genügte: Angreifer nutzten die vier Plex-Lücken, nachdem der Exploit am 16. Oktober öffentlich wurde. Wer seinen Server nicht aktualisiert hat, riskiert fremden Code auf dem eigenen Rechner.
Das Wichtigste in Kürze
- Vier Lücken lassen sich zu einer Kette verbinden. Damit läuft Code auf einem erreichbaren Plex-Server, ohne dass ein Login nötig ist.
- Die Angriffe begannen am 17. Oktober. Ein Forscher sah sie auf einem Köder-Server mit verwundbarer Version.
- Die Täter installierten einen Krypto-Miner und Proxy-Software. Beides läuft mit den Rechten des Plex-Dienstes.
- Plex hat die Fehler am 1. September behoben. Server-Betreiber sollen die neueste Version einspielen.
Was Plex2Shell ist und wie der Zeitplan lief
Plex2Shell nennt sich eine Kette aus vier Schwachstellen in Plex Media Server. Sie tragen die Nummern CVE-2026-96652, CVE-2026-96654, CVE-2026-96655 und CVE-2026-96656. Zusammen erlauben sie beliebigen Code auf einem erreichbaren Server. Zugangsdaten braucht ein Angreifer dafür nicht. Der Code läuft mit denselben Rechten wie der Plex-Dienst.
Dabei hat der Forscher, der die Fehler fand, eine Beschreibung der Plex2Shell-Lücken samt Beispielcode am 16. Oktober 2026 veröffentlicht. SecurityWeek berichtete über die ersten Angriffe vom 17. Oktober 2026. Die Quelle nennt kein späteres Aktualisierungsdatum.
| Datum | Ereignis | Bedeutung |
|---|---|---|
| 27. Juli | Meldung an Plex | Der Hersteller erfuhr früh von den Fehlern. |
| 4. August | Plex bestätigt und zahlt Prämie | Die Lücken galten damit als echt. |
| 1. September | Plex meldet fertige Korrekturen | Seit diesem Tag gibt es ein Update. |
| 16. Oktober | Beschreibung und Exploit öffentlich | Jeder konnte den Angriff nachbauen. |
| 17. Oktober | Erste Angriffe auf einem Köder | Die Ausnutzung begann am Folgetag. |
Damit lagen zwischen Update und Veröffentlichung gut sechs Wochen. Wer in dieser Zeit nicht aktualisierte, stand beim Exploit-Start ungeschützt da.
Was die Angreifer auf dem Köder installierten
Ein anderer Forscher betrieb einen Plex-Server als Köder im Internet. Er lief mit einer verwundbaren Version. Vor dem 17. Oktober sah er dort vor allem Scans und allgemeine Angriffsversuche. Am Morgen des 17. Oktober folgte die erste echte Ausnutzung. Laut seinem Bericht über die beobachteten Angriffe nutzten die Täter den öffentlichen Exploit. Sie könnten den Code angepasst haben.
Auf dem Köder tauchten zwei Programme auf:
- Ein Krypto-Miner auf Basis von XMRig. Er nutzt die Rechenleistung des Servers für fremden Gewinn.
- Ein Programm namens myawesomeproxy, das der Forscher als Proxy-Software einstufte. Es zeigt einen Hinweis, wonach Nutzer der Verwendung ihres Datenverkehrs zustimmen.
Deshalb warnt der Forscher, dass die veröffentlichten Erkennungsmerkmale nur den Köder abdecken. Andere Angriffe können anders aussehen.
Warum auch Heimserver ein Ziel sind
Daher lohnt sich der Blick auf den zweiten Fund. Plex läuft oft an privaten Anschlüssen. Der Forscher vermutet, dass Täter solche Adressen als Proxy schätzen. Über sie lassen sich Firmen-VPNs und E-Mail-Zugänge erreichen, ohne sofort aufzufallen. Ein kompromittierter Medienserver kann so zum Sprungbrett werden.
Zudem betrifft das nicht nur Privatleute. Auch Teams, die Plex im Büro oder auf einem Testserver betreiben, sollten ihre Version kennen. Ein erreichbarer Dienst im Internet ist das erste Ziel solcher Kampagnen.
Einordnung: Was das für Admins in der Schweiz heisst
Wer Plex Media Server betreibt, muss jetzt die installierte Version prüfen und auf den neuesten Stand bringen. Das Update ist seit dem 1. September verfügbar und kostet nichts. Plex rät in seinem Sicherheitshinweis, die neueste Version ohne Verzug zu installieren. Wer den Server aus dem Internet erreichbar hält, trägt das höchste Risiko. Bei einem Verdacht sollten Admins nach unbekannten Prozessen, hoher Rechenlast und fremdem Datenverkehr suchen. Die Quelle nennt dafür keine weiteren Hinweise.
Fazit
Die Lücken sind behoben, aber der Exploit ist öffentlich und wird eingesetzt. Prüfe heute die Version deines Plex-Servers und spiele das neueste Update ein. Suche danach nach Miner- oder Proxy-Spuren, etwa nach ungewöhnlicher Last. Die veröffentlichten Erkennungsmerkmale helfen dabei, sind aber nicht vollständig.
Quellen: SecurityWeek. Foto: StockSnap / Pixabay. Stand: 20. Oktober 2026.
Recherche und Entwurf KI-gestützt, geprüft und freigegeben von Andreas Brauckmann · So arbeitet die Redaktion
Änderungshistorie
- — Artikel veröffentlicht.