Hackers explotan una falla en Plex para instalar mineros de criptomonedas en miles de servidores

Piratas informáticos explotan desde el 17 de octubre una cadena de cuatro fallas de seguridad en Plex Media Server para tomar control remoto de servidores domésticos sin necesitar contraseña, instalar mineros de criptomonedas y convertir los equipos en intermediarios de tráfico anónimo.

La cadena de fallas, bautizada Plex2Shell, combina cuatro vulnerabilidades: un fraude de solicitudes del lado del servidor sin autenticación, acceso indebido a funciones internas del programa, robo del token de administrador del dueño del servidor y escritura arbitraria de archivos en la carpeta de códecs. Combinadas, permiten ejecutar código con los mismos permisos que el propio servicio de Plex.

Plex corrigió las cuatro fallas a comienzos de septiembre con la versión 1.43.3 y pidió entonces a los usuarios que actualizaran. Tres semanas después publicó los identificadores correspondientes: CVE-2026-96652, CVE-2026-96654, CVE-2026-96655 y CVE-2026-96656, una de ellas con una gravedad de 8,6 sobre 10.

Un investigador de seguridad publicó el 16 de octubre un informe técnico con el código capaz de encadenar las cuatro fallas y ejecutarlas de forma remota sin necesidad de credenciales válidas.

“Estas vulnerabilidades están siendo explotadas de manera activa y generalizada. Si su servidor es anterior a la versión 1.43.3.10861 y es accesible desde internet, asuma que puede estar comprometido”, advirtió Plex en un comunicado publicado el 19 de octubre en su foro oficial de soporte.

Mineros de criptomonedas y proxies ocultos

Un segundo investigador montó un servidor señuelo con una versión vulnerable para rastrear los ataques en tiempo real. Detectó los primeros intentos de explotación el 17 de octubre, un día después de que el código quedara disponible en público.

Los atacantes instalaron primero un minero de criptomonedas basado en XMRig y, horas más tarde, un programa llamado myawesomeproxy, que convierte al servidor infectado en un intermediario de tráfico de internet.

Ese programa permite a terceros desviar su propio tráfico a través de la conexión de la víctima para ocultar su origen. “Plex suele alojarse en direcciones IP residenciales, y los atacantes buscan justamente ese tipo de proxy para acceder a redes corporativas y correos electrónicos”, escribió el investigador que detectó la actividad, según citó Ars Technica.

La firma de monitoreo de amenazas Shadowserver detectó más de 48.000 servidores de Plex expuestos directamente a internet con versiones vulnerables, según informó el medio alemán Golem.de a partir de los escaneos de esa organización.

Qué deben hacer los usuarios

Plex recomendó actualizar de inmediato a la versión 1.43.3.10861 o posterior desde la configuración general del programa. También pidió revisar si existen procesos desconocidos derivados del servicio o archivos no reconocidos dentro de la carpeta de códecs.

Otra señal de alerta son las conexiones salientes hacia el dominio proxystream.st, indicio de que el equipo ya fue comprometido por el programa de proxy. Si se detecta alguno de esos rastros, la compañía sugiere reinstalar el servidor desde cero en lugar de reutilizar la carpeta de datos anterior.

También aconsejó cerrar la sesión de todos los dispositivos vinculados a la cuenta y cambiar la contraseña. Para quienes no necesiten acceso remoto, Plex sugirió desactivar directamente esa función y evitar exponer el puerto 32400 a internet.

El fallo original fue reportado a la empresa el 27 de julio por un investigador que recibió una recompensa económica por el hallazgo. “No se trató de pedirle a un modelo de lenguaje que hackeara Plex. Fueron horas de trabajo iterativo, callejones sin salida y reordenamiento de prioridades”, escribió el investigador, aunque aclaró que las decisiones sobre qué priorizar fueron suyas. Plex no respondió de inmediato a las consultas de la prensa especializada sobre el alcance total de los servidores comprometidos.