Wat is er gebeurd
Plex heeft op 19 oktober 2026 bevestigd dat aanvallers actief inbreken op Plex Media Servers die vanaf internet bereikbaar zijn en niet zijn bijgewerkt. Het gaat om een keten van vier kwetsbaarheden die samen Plex2Shell worden genoemd: CVE-2026-96652, CVE-2026-96654, CVE-2026-96655 en CVE-2026-96656. Door ze te combineren kan een aanvaller op afstand code uitvoeren op de server.
De Amerikaanse cyberdienst CISA heeft alle vier de lekken op 20 oktober toegevoegd aan de lijst met actief misbruikte kwetsbaarheden. Bij waargenomen aanvallen installeerden de aanvallers een cryptominer en proxysoftware, waarmee zij hun eigen internetverkeer via het netwerk van het slachtoffer kunnen laten lopen. Het misbruik begon kort nadat er openbare aanvalscode was verschenen.
Wie worden getroffen
Kwetsbaar zijn alle versies van Plex Media Server ouder dan 1.43.3.10861, ook eerdere builds van versie 1.43.3. De herstelde versie is al sinds augustus beschikbaar, maar veel servers zijn nog niet bijgewerkt. Op Windows en macOS werkt automatisch bijwerken alleen als dat is ingeschakeld; installaties op Linux, een NAS of in Docker moeten met de hand worden bijgewerkt.
Plex wordt vooral thuis gebruikt, maar staat ook op NAS-apparaten van kleine kantoren en op thuisnetwerken van medewerkers die vanuit huis werken. Een overgenomen server kan dan een opstap zijn naar andere apparaten in hetzelfde netwerk.
Wat betekent dit voor uw organisatie
Dit incident laat zien dat ook software die niet als bedrijfssoftware wordt gezien een risico vormt zodra die vanaf internet bereikbaar is. Een vergeten mediaserver op een NAS of een privéapparaat in het kantoornetwerk valt vaak buiten het beheer van de ICT-partner, en wordt dus ook niet bijgewerkt.
Bijwerken alleen is niet genoeg als de server al bereikbaar en kwetsbaar was: een update verwijdert geen bestaande besmetting. Plex adviseert daarom te controleren of de server al is gecompromitteerd en bij twijfel de installatie schoon opnieuw op te zetten.
Wat kunt u nu doen
- Inventariseer of er binnen uw organisatie of op een NAS een Plex Media Server draait en controleer het versienummer; werk bij naar 1.43.3.10861 of nieuwer.
- Zet automatisch bijwerken aan waar dat kan en plan voor Linux, NAS en Docker een vast moment om handmatig te updaten.
- Controleer servers die vanaf internet bereikbaar waren op processen met de namen myawesomeproxy, mylovelyminer of x12345, op onbekende bestanden in de map Codecs en op een hoge processorbelasting terwijl er niets wordt afgespeeld.
- Vindt u sporen van misbruik, installeer Plex dan schoon opnieuw zonder de oude datamap te hergebruiken en wijzig de wachtwoorden van gekoppelde accounts.
- Haal media- en hobbyservers uit het bedrijfsnetwerk of plaats ze in een apart netwerksegment, en zet poorten naar internet alleen open als dat echt nodig is.
- Laat met een externe kwetsbaarhedenscan controleren welke diensten van uw organisatie vanaf internet bereikbaar zijn.