Wer zu Hause einen Plex Media Server betreibt, sollte jetzt sofort die Version prüfen: Seit dem 17. Oktober nutzen Angreifer aktiv eine Lücken-Kette aus, mit der sie ganz ohne Login Schadcode auf dem Server ausführen können. Ein öffentlich einsehbarer Exploit macht den Angriff für praktisch jeden technisch versierten Angreifer nutzbar.

Vier Lücken, ein Exploit-Pfad

Die Kette heißt “Plex2Shell” und besteht aus vier CVEs (2026-96652, 96654, 96655, 96656). Keine einzelne Lücke ist für sich genommen hochkritisch – die höchste CVSS-Bewertung liegt bei 8,6 –, kombiniert reichen sie aber, um den Admin-Token des Servers zu stehlen und anschließend Befehle als Plex-Dienst auszuführen. Der Sicherheitsforscher Zach Main veröffentlichte den vollständigen technischen Ablauf samt Proof-of-Concept am 16. Oktober auf GitHub; schon einen Tag später beobachtete ein Honeypot-Projekt erste reale Angriffe von mehreren IP-Adressen.

Betroffen sind alle Plex-Versionen vor 1.43.3.10861. Plex hatte bereits Anfang September vor den Schwachstellen gewarnt und den Patch bereitgestellt – Details zu den CVEs selbst kamen aber erst mit der Veröffentlichung des Exploits. Laut Shadowserver-Scan sind weltweit rund 36.000 Plex-Instanzen offen aus dem Internet erreichbar, davon knapp 1.550 in Deutschland. Erst im September mussten NAS-Besitzer ähnlich schnell reagieren, als zwei kritische Lücken in Synology DSM bekannt wurden – Heimserver geraten offenbar zunehmend ins Visier.

Was die Angreifer damit anstellen

Auf gekaperten Servern platzieren die Angreifer laut Beobachtungen einen Monero-Miner sowie ein Proxy-Tool. Besonders unangenehm: Die Schadsoftware landet im Codecs-Ordner von Plex und wird bei jeder Transkodierung einer Mediendatei erneut gestartet – ein bloßes Beenden des Miner-Prozesses reicht also nicht. Weil viele Plex-Server auf privaten Internetanschlüssen mit Heim-IP laufen, missbrauchen Angreifer sie zusätzlich als Residential-Proxy, um etwa Zugriffe auf fremde Unternehmens-VPNs oder E-Mail-Konten zu verschleiern.

Was ihr jetzt tun solltet

Prüft eure installierte Version und updatet mindestens auf 1.43.3.10861. Gebt Port 32400 nicht direkt ins Internet frei, sondern nutzt wenn möglich ein VPN für den Fernzugriff. Wer den Verdacht hat, bereits betroffen zu sein, sollte den Codecs-Ordner auf verdächtige .so- oder .dll-Dateien durchsuchen und ungewöhnliche Prozesse checken. Ehrlich gesagt überrascht mich am meisten, dass der Patch schon seit Anfang September verfügbar war – wieder einmal zeigt sich, dass Update-Hinweise bei vielen Heimanwendern einfach nicht ankommen.