O que você precisa fazer: conferir a versão que o servidor realmente reporta, em Configurações, Solução de problemas, Diagnóstico, e subir para 1.43.3.10861 ou mais recente. Instalação em NAS costuma exigir atualização manual, e quem roda em Docker precisa checar se a tag da imagem está fixada em versão antiga. Depois disso, fechar o encaminhamento de porta no roteador: se o acesso remoto é necessário, o caminho é o Relay do próprio Plex ou uma VPN, não a porta aberta.
Atualizar não limpa o que já entrou. Procure processo chamado mylovelyminer, x12345, docker fora de lugar ou myawesomeproxy, linha de comando com --rig-id ou --donate-level, biblioteca compartilhada estranha na pasta de codecs e conexão de saída para pool de mineração. Se achar, trate como incidente: o objeto na pasta de codecs volta a rodar na próxima transcodificação, mesmo depois de você matar o processo.
Nenhuma das quatro falhas é crítica sozinha. Em sequência, elas entregam execução de código sem autenticação, com o privilégio do serviço do Plex. É o tipo de resultado que a pontuação individual não captura, e é por isso que triagem feita só por nota deixa casos como este para depois.
Quatro degraus, e o salto está na combinação
O primeiro degrau é a CVE-2026-96652, CVSS 5.3, um SSRF sem autenticação: o parâmetro protocol no endpoint /player/timeline entra sem validação na montagem de uma URL, então o servidor pode ser levado a enviar POST para destino escolhido pelo atacante.
O segundo é a CVE-2026-96654, CVSS 6.9, falha de neutralização de URL no endpoint searchOne que permite invocar função de outro plugin com parâmetro controlado. O resultado é o token de administrador do dono do servidor.
Com o token na mão, o terceiro degrau é a CVE-2026-96655, outro SSRF, agora autenticado, pelo caminho de transcodificação /video/:/transcode/universal, usado para buscar um objeto compartilhado ELF hospedado pelo atacante. E o quarto é a CVE-2026-96656, CVSS 8.6, controle externo de caminho de arquivo: o objeto é gravado em posição escolhida dentro da pasta de codecs, que o Plex carrega quando o transcodificador sobe. Uma quinta falha, a CVE-2026-96651, foi corrigida no mesmo lote e não faz parte da cadeia.
A persistência é um efeito colateral do desenho
O ponto que diferencia este caso de uma infecção comum de minerador é onde o arquivo mora. A pasta de codecs não é diretório temporário: é o lugar de onde o Plex carrega biblioteca ao iniciar transcodificação. Matar o processo resolve o sintoma; o objeto continua lá e volta a executar no próximo stream transcodificado. Reiniciar o serviço também não ajuda, pela mesma razão.
Isso tem consequência direta no roteiro de resposta. Patch aplicado em máquina já comprometida fecha a porta e mantém o inquilino. A sequência correta é verificar comprometimento primeiro, limpar a pasta de codecs, reconstruir a partir de estado confiável e só então tratar a atualização como concluída. Vale trocar a senha da conta Plex e desconectar os outros dispositivos, porque o token de administrador passou pelas mãos de quem explorou.
Quem está minerando, e quem está vendendo o seu endereço
As duas cargas observadas aparecem quase sempre juntas. A primeira é um XMRig rebatizado, visto com nomes como mylovelyminer e x12345, e também baixado com nomes genéricos como docker e x a partir de 217.60.194.116. Em um relato detalhado de honeypot, o minerador consumia cerca de 97% da CPU, o que torna a detecção trivial para quem olha e invisível para quem não olha.
A segunda é mais interessante do ponto de vista econômico. O myawesomeproxy transforma a máquina em proxy residencial, com o IP da vítima passando a rotear tráfego de terceiro. Infraestrutura no mesmo domínio já apareceu ligada a botnet de DDoS e de proxyware, e esse mercado é o que explica por que um servidor de mídia doméstico vale a pena para o atacante: não é o conteúdo, é o endereço. Endereço residencial em país da América Latina tem preço justamente porque atravessa controle antifraude que bloqueia faixa de datacenter.
O intervalo entre correção e exploração
A linha do tempo é a parte incômoda. Main relatou as falhas ao Plex em 27 de julho e a empresa confirmou e pagou recompensa em 4 de agosto. As datas de publicação da correção divergem entre as coberturas, com parte apontando 3 de agosto e parte 1º de setembro para a 1.43.3. A data mais cedo é anterior à confirmação formal do fabricante, o que é comum quando a correção entra em uma versão já em preparo e o aviso sai depois. O que não diverge é o intervalo: a versão corrigida estava disponível semanas antes de o exploit existir.
Mesmo assim, a varredura da Shadowserver de 9 de setembro encontrou mais de 36 mil instâncias em versão vulnerável, dentro de um universo de cerca de 300 mil servidores Plex expostos. Em 16 de outubro o relatório técnico e a prova de conceito saíram. Em 17 de outubro o pesquisador por trás do BoredHackerBlog registrou a primeira exploração real contra um honeypot Linux em Docker. Em 19 de outubro usuários começaram a relatar minerador nos próprios servidores. Os endereços de origem vistos no honeypot foram 45.194.92.222, 91.92.40.202 e 176.65.139.228, e servem como indicador de prazo curto, não como lista de bloqueio permanente.
Por que isso não é só problema de casa
Plex é software de mídia doméstica, e essa é exatamente a razão de ele importar para a empresa. Instância rodando em NAS do escritório, em máquina de laboratório ou em servidor que alguém subiu para compartilhar arquivo de treinamento é TI que não passou por inventário. O encaminhamento de porta que foi aberto no roteador para assistir a um filme de fora continua aberto. E a execução de código acontece com o privilégio do serviço, dentro da rede, com visibilidade de tudo o que aquele segmento alcança.
A consulta prática é simples e não precisa de ferramenta nova: procurar porta 32400 publicada na borda e perguntar quem é o dono de cada resposta.
Outros sinais do dia
- Drupal
Duas execuções remotas críticas no mesmo lote de avisos
O SA-CORE-2026-014, no Field UI do núcleo, e o SA-CONTRIB-2026-218, no módulo Entity List, receberam 19 de 25 na escala do projeto. Nenhum é explorável pelo módulo isolado: o caminho aparece na interação com outro módulo ou com código próprio, e há rota sem autenticação em cada um. Correção em 11.4.10, 11.3.19 e 10.6.19, e atualizar o núcleo não troca o código do módulo contribuído.
- PAN-OS
Ransomware entrando por VPN, e um RCE novo na gerência
A Unit 42 atualizou em 19 de outubro o relato de exploração da CVE-2026-0257 no GlobalProtect, agora com Qilin e Inc usando a falha para abrir sessão de VPN sem passar pelo MFA, seguida de reconhecimento com ferramenta de RMM e movimento por RDP e SMB. Em paralelo, a CVE-2026-0322 traz execução de código como root na interface de gerência, CVSS v4 8.6, com exploração já observada e sem contorno disponível.
- WordPress
A cadeia wp2shell continua sendo tentada contra instalação padrão
A combinação de confusão de rota no /wp-json/batch/v1 com injeção de SQL pelo parâmetro author_exclude dispensa plugin de terceiro. O F5 Labs capturou uma carga de 735 bytes repetida contra sensores, com requisições aninhadas em vários níveis. Corrigido em 6.8.6, 6.9.5 e 7.0.2, e a detecção de WAF precisa olhar o parâmetro que aparece no HTTP, não o nome interno.
Fontes e aprofundamento
- WindowsForum · Plex2Shell exploits target unpatched Plex servers with crypto miners and proxy malware, com os endereços de origem, os nomes de arquivo e a linha do tempo de julho a outubro.
- PeakCyber · Plex2Shell: Plex Media Server RCE exploited in the wild, com a descrição dos quatro degraus da cadeia e as notas CVSS.
- ByteIota · Plex2Shell exploit is live, patch to 1.43.3.10861 now, com a varredura da Shadowserver de 9 de setembro e o roteiro de verificação.
- Shattered · Plex2Shell exploit: 4 CVEs hit live Plex servers, com o registro do honeypot do BoredHackerBlog e as recomendações de exposição.