脅威アクターは、Plex Media Serverの4つの脆弱性を組み合わせた攻撃チェーン「Plex2Shell」について、技術的な詳細と実際に動作するエクスプロイトが公開された翌日から、攻撃を開始しました。
Plex2Shellの脆弱性を発見した研究者は、10月16日に解説記事と概念実証（PoC）コードを公開しました。対象となるのはCVE-2026-96652、CVE-2026-96654、CVE-2026-96655、CVE-2026-96656の4件です。これらを組み合わせると、インターネットに公開されたサーバー上で、有効な認証情報がなくても任意のコードを実行できます。コードはPlexサービスと同じ権限で動作します。
研究者がPlexに脆弱性を報告したのは7月27日です。同社は8月4日に内容を確認し、バグ報奨金を支払いました。9月1日には、すでに修正版を公開したと発表し、サーバーの管理者にアップグレードを呼びかけました。
別の研究者が、脆弱なバージョンを動かすハニーポットをインターネット上に設置し、攻撃を確認しました。10月17日より前、このおとりサーバーに届いていたのは、主に偵察目的のスキャンと汎用的な攻撃の試みでした。
この研究者は「10月17日の朝になって、ようやく実環境での悪用を確認した」と書いています。攻撃者は公開されたエクスプロイトを使っていたといいます。ただし、コードに手を加えた可能性もあるとしています。
攻撃者は、XMRigをベースにした暗号資産マイナーを設置していました。同じ日の後半には、「myawesomeproxy」という別のプログラムもハニーポットに現れました。研究者はこれをプロキシソフトウェアと特定しています。実行した人は自分のインターネット通信が利用される可能性に同意したものとみなす、という通知を表示する仕組みです。
研究者は「Plexは家庭用のIPアドレスでホストされている場合がある。脅威アクターは、企業のVPNやメールにアクセスするために、そうした家庭用IPのプロキシを欲しがるのではないか」と書いています。
また、公開されている侵害指標（IoC）は、ハニーポットで観測した活動だけを対象にしている点に注意が必要だと、この研究者は指摘しました。
Plexは9月のセキュリティ情報で、すべてのサーバー管理者に対し、最新版をただちにインストールするよう推奨しています。
