Sulmuesit nisën shfrytëzimin e Plex2Shell më 17 tetor, një ditë pas publikimit të analizës teknike dhe kodit demonstrues (PoC). Zinxhiri bashkon katër dobësi të Plex Media Server: CVE-2026-96652, CVE-2026-96654, CVE-2026-96655 dhe CVE-2026-96656. Ato lejojnë ekzekutimin e kodit arbitrar në një server të ekspozuar në internet, pa kredenciale të vlefshme dhe me privilegjet e shërbimit Plex.
Dobësitë iu raportuan Plex më 27 korrik. Kompania i konfirmoi dhe shpërbleu studiuesin më 4 gusht. Më 1 shtator, Plex njoftoi se kishte shpërndarë korrigjimet dhe u kërkoi të gjithë administratorëve të instalonin pa vonesë versionin më të fundit.
Sulmet u zbuluan nga një studiues tjetër, i cili ngriti një server-kurth honeypot me një version të cenueshëm të Plex. Para 17 tetorit, ai kishte regjistruar kryesisht skanime zbulimi dhe tentativa të përgjithshme sulmi. Sipas studiuesit, sulmuesit përdorën kodin e publikuar, ndoshta me modifikime, dhe vendosën një program për gjenerimin e kriptomonedhave të bazuar në XMRig.
Më vonë po atë ditë u shfaq edhe myawesomeproxy, i identifikuar si program proxy. Ai shfaq një njoftim se përdoruesi pranon përdorimin e mundshëm të trafikut të tij të internetit. Studiuesi paralajmëroi se treguesit e publikuar të komprometimit mbulojnë vetëm aktivitetin e vëzhguar në honeypot.
Burimi: SecurityWeek — lexoni artikullin e plotë në anglisht.
