Ravie Lakshmanan 19 Ekim 2026 Güvenlik Açığı / Web Güvenliği
Tehdit aktörleri, bir kanıt konsepti kamuya açıldıktan bir gün sonra Plex Media Server'da bir açık zincirini istismar etmeye başladı. Saldırılar kripto para madencisi ve ters proxy yazılımı dağıtıyor.
Çevrimiçi takma adı boredhackerblog olan bir araştırmacıya göre istismar faaliyeti, topluca Plex2Shell adı verilen dört farklı açığın zincirlenmesini içeriyor.
Açıklar aşağıda.
CVE-2026-96652 (CVSS puanı: 5,3) - "/player/timeline" uç noktasından kaynaklanan doğrulanmamış sunucu tarafı istek sahteciliği. "protocol" parametresi doğrulanmadan programlı olarak oluşturulan oynatıcı URL'sine ekleniyor ve saldırganın Plex sunucusunu kendi seçtiği bir hedefe POST yapmaya zorlamasına olanak tanıyor.
CVE-2026-96654 (CVSS puanı: 6,9) - "searchOne" uç noktasına dahil edilen URL değerlerinin uygun şekilde nötralize edilmemesi. Bu durum saldırganın diğer eklentilerin işlevlerini çağırmasına ve kendi parametrelerini sağlayarak sahibinin yönetici jetonunu elde etmesine olanak tanıyabilir.
CVE-2026-96655 (CVSS puanı: 5,3) - Doğrulanmış bir kullanıcının yani sahip jetonunun, "/video/:/transcode/universal" yol parametresi üzerinden keyfi dahili veya harici adresleri istemesine izin veren SSRF açığı. Örnek olarak saldırgan barındırımlı, zararlı ELF yükü taşıyan bir taşıyıcı video gösterilebilir.
CVE-2026-96656 (CVSS puanı: 8,6) - Dosya adı veya yolunun dışarıdan kontrol edilmesi açığı. ELF paylaşılan nesnesinin Codecs dizininde saldırganın seçtiği bir yola yerleştirilmesine ve çalıştırılmasına izin veriyor.
Biraz daha açık söylemek gerekirse açıklar bu sırada birleştirildiğinde savunmasız Plex Media Server örneklerinde doğrulanmamış uzaktan kod çalıştırmaya ulaşılabiliyor.
Açıklar, CVE-2026-96651 (CVSS puanı: 7,1) ile birlikte güvenlik araştırmacısı Zach Main tarafından 27 Temmuz 2026'da Plex'e bildirildi ve 1.43.3.10861 sürümünde 3 Ağustos 2026'da yayınlanan Plex Media Server'da düzeltildi.
Plex2Shell zincirinin teknik detayları 16 Ekim 2026'da kamuya açıldıktan bir gün sonra açıklara yönelik gerçek ortamda istismar girişimleri kaydedildi. Saldırılar, uzaktan sunucu "217.60.194[.]116" üzerinden bir madenci yükünün dağıtılmasına yol açtı.
Saldırı çabaları aşağıdaki IP adreslerinden gözlemlendi.
Ayrıca açıklar, "myawesomeproxy" adında bir bileşenin dağıtımı için de istismar edildi. VirusTotal'a göre bu bileşen gizli bir Linux arka kapısı ve ters proxy. boredhackerblog'a göre program çalıştırıldığında aşağıdaki mesaj görüntüleniyor.
Bu yazılımı cihazlarınızda çalıştırmak, internet trafiğinizin potansiyel dış kullanımına onay verdiğiniz anlamına gelir.
Eş zamanlı olarak "mylovelyminer" olarak tanımlanan bir XMRig madenci süreci de dağıtılıyor. Madencilik sunucusu "ota.proxystream[.]st" adresini gösteriyor. Aynı alan adıyla ilişkili başka bir alt alan adı olan "global.relay.proxystream[.]st", Ağustos 2026'da Bitsight tarafından AISURU DDoS ve proxyware botnet ile bağlantılı olarak işaretlendi.
Reddit'teki paylaşımlar birden fazla Plex kullanıcısının örneklerinin aynı "mylovelyminer" yüküyle tehlikeye girdiğini gösteriyor. Bu durumun Plex2Shell açıklarının istismarından kaynaklanıp kaynaklanmadığı henüz bilinmiyor.
Gelişme, Plex'in birden çok belirtilmemiş güvenlik açığını ele alan bir güncelleme yayınlamasının ardından kullanıcıları örneklerini en son sürüme yükseltmeye çağırdığı tarihten bir aydan fazla sonra geldi.
Belirtilen açıkların bu uyarının parçası olup olmadığı net değil. The Hacker News, yorum için Plex'e ulaştı ve geri dönüş alınırsa haber güncellenecek. Aktif istismar ışığında kullanıcıların en iyi koruma için Plex kurulumlarını güncel tutmaları öneriliyor.
