Plex Media Server sotto attacco: malware sui server non aggiornati

Le installazioni di Plex Media Server sono finite nel mirino dei criminali informatici, che stanno sfruttando vulnerabilità già corrette per installare malware sui sistemi rimasti esposti.

Gli attacchi possono trasformare un computer domestico o un dispositivo NAS in uno strumento per generare criptovalute oppure instradare il traffico Internet di terzi. La campagna è stata documentata da ricercatori di sicurezza e ricostruita da Ars Technica, che invita gli amministratori a intervenire tempestivamente.

Il problema riguarda soprattutto i server accessibili dall’esterno e non aggiornati: la disponibilità di una correzione, infatti, non impedisce agli aggressori di colpire chi continua a utilizzare software vulnerabile.

Plex2Shell permette di eseguire codice da remoto

Secondo le indagini degli esperti, gli attacchi sfruttano una catena di vulnerabilità denominata Plex2Shell. Le falle, segnalate inizialmente al produttore dal ricercatore Zach Main, sono state combinate in una procedura che può consentire l’esecuzione di codice sul dispositivo che ospita il server, senza richiedere credenziali di accesso.

Le vulnerabilità sono identificate come CVE-2026-96652, CVE-2026-96654, CVE-2026-96655 e CVE-2026-96656. Considerate singolarmente, queste presentano caratteristiche differenti. Il vero pericolo è dato dalla concatenazione degli exploit: una combinazione che permette di superare più controlli di sicurezza. La procedura descritta comprende una richiesta lato server verso una destinazione controllata dall’attaccante, il passaggio attraverso l’interfaccia locale, il furto di un token di autenticazione e la consegna del payload dannoso.

La diffusione del codice dimostrativo ha permesso ad altri ricercatori di osservare il comportamento degli aggressori attraverso un honeypot, cioè un sistema esca progettato per registrare tentativi di intrusione. Le prime attività malevole sono state rilevate poco dopo la pubblicazione dei dettagli tecnici, segno che la disponibilità di un exploit funzionante può accelerare il passaggio dalla ricerca di una vulnerabilità agli attacchi reali.

Cryptominer e proxy trasformano i server in risorse criminali

I ricercatori hanno individuato due tipologie di payload. La prima è un software per il mining di criptovalute, che sfrutta le risorse di elaborazione della macchina compromessa per generare profitti destinati agli aggressori. Il consumo aggiuntivo di CPU può rallentare il sistema e aumentare l’impiego di energia, compromettendo le prestazioni delle altre applicazioni.

Il secondo payload installa un software proxy residenziale. In questo scenario, la connessione Internet della vittima viene utilizzata per inoltrare il traffico di altri soggetti, rendendo più difficile risalire alla sua origine. Un simile impiego può esporre il proprietario del server a conseguenze reputazionali e complicazioni nelle verifiche di sicurezza della rete.

Per ridurre il rischio, Plex Media Server deve essere aggiornato alla versione 1.43.3 o successiva. È inoltre opportuno verificare che l’aggiornamento automatico sia attivo oppure installare manualmente il pacchetto corretto dal sito ufficiale. Gli amministratori possono limitare l’accesso al servizio alla rete locale, evitando di esporlo direttamente a Internet quando non è necessario.

Chi deve mantenere l’accesso remoto può valutare un reverse proxy configurato correttamente, senza considerarlo una sostituzione della correzione software. Anche l’impiego di applicazioni Plex affidabili e di password robuste contribuisce alla protezione complessiva.