La cadena de vulnerabilidades bautizada como Plex2Shell ha dejado de ser una demostración teórica. Menos de 24 horas después de que se publicaran los detalles técnicos y el código de prueba de concepto, distintos atacantes comenzaron a utilizarla contra servidores Plex Media Server expuestos a Internet para instalar mineros de criptomonedas y software de proxy residencial. El episodio confirma la velocidad con la que un exploit público se transforma en herramienta operativa contra infraestructura doméstica y de pequeñas organizaciones.
- Cadena de cuatro fallos: Plex2Shell combina CVE-2026-96652, CVE-2026-96654, CVE-2026-96655 y CVE-2026-96656 para lograr ejecución remota de código sin credenciales válidas.
- Armamento exprés: el honeypot de un investigador registró explotación real el 17 de octubre, un día después de la divulgación técnica.
- Carga útil doble: los atacantes desplegaron un minero basado en XMRig y un programa llamado myawesomeproxy que convierte el equipo en nodo de salida para tráfico ajeno.
- Parche disponible: la versión corregida es la 1.43.3.10861 o posterior, y miles de instalaciones siguen sin actualizar.
Anatomía de una cadena de ejecución remota
El investigador de seguridad Zach Main, conocido en línea como ZM, publicó el 16 de octubre el análisis técnico y el código de prueba de concepto de Plex2Shell. El encadenamiento permite a un atacante sin sesión iniciada apoderarse del token de administrador del servidor y, después, plantar un archivo malicioso que se ejecutará la próxima vez que Plex transcodifique un vídeo.
El tramo final es especialmente delicado. Según el propio informe, el cargador de bibliotecas compartidas de Plex no comprueba el nombre de la librería, ni el bit de ejecución, ni la firma digital, ni símbolo alguno: dlopen ejecuta las funciones constructoras del objeto antes de resolver cualquier símbolo. Basta con dejar un archivo .so en el directorio de códecs y forzar una segunda transcodificación para que el código corra con los privilegios del servicio, es decir, como uid=1000(plex). No hace falta obtener un inicio de sesión interactivo.
Los fallos se reportaron a Plex el 27 de julio y la compañía los confirmó y pagó una recompensa de 500 dólares el 4 de agosto. Las correcciones se publicaron antes de que el exploit fuera público y el aviso oficial llegó el 1 de septiembre, con asignación de identificadores CVE el 23 de ese mes. Una de las vulnerabilidades registradas alcanza una severidad de 8,6 sobre 10.
Del señuelo a la carga útil: XMRig y proxy residencial
Un investigador independiente levantó un honeypot con una versión vulnerable de Plex accesible desde Internet. Durante semanas el señuelo solo recibió escaneos y tentativas genéricas, hasta que el panorama cambió.
«A partir de esta mañana (17 de octubre) finalmente vi explotación en estado salvaje».
El primer programa descargado fue un minero de criptomonedas construido sobre XMRig, que aprovecha la CPU del equipo para extraer moneda hacia una cartera controlada por el atacante. Horas después apareció myawesomeproxy, una utilidad que muestra un aviso según el cual ejecutarla implica aceptar el posible uso externo del tráfico de Internet del usuario. El resultado: el servidor doméstico se convierte en un nodo de proxy residencial, codiciado porque permite enmascarar actividad ilícita detrás de una IP aparentemente legítima. Como resumió el autor del honeypot, un Plex alojado en una IP residencial es un objetivo muy atractivo para acceder a VPN corporativas y correos electrónicos.
Miles de servidores siguen expuestos
El problema no es menor. Datos de Shadowserver citados en la investigación cifraban en cerca de 49.000 los hosts aún etiquetados como vulnerables, con aproximadamente 25.100 en Norteamérica y 17.600 en Europa. Plex recomendó entonces una actualización inmediata.
«Recomendamos a todos los propietarios de servidores y usuarios de escritorio actualizar a la última versión lo antes posible».
La advertencia tiene un matiz práctico: el ajuste de actualización automática está desactivado por defecto en modo «preguntarme» y solo aplica a Windows y macOS. Las instalaciones en Linux, Docker y dispositivos NAS dependen del gestor de paquetes, del reinicio del contenedor o de una descarga manual. Esta vez Plex no aplicó la restricción de acceso que sí impuso en 2025 durante el incidente de CVE-2025-34158, cuando bloqueó a los usuarios invitados mientras el servidor siguiera en una versión afectada.
Nick Percoco, director de seguridad de Kraken, advirtió en redes que matar el proceso del minero no resuelve nada: la carga útil reside en la carpeta de códecs de Plex y vuelve a ejecutarse cada vez que se produce una transcodificación. La recomendación para administradores incluye revisar procesos hijos inesperados, picos de CPU sin explicación, archivos desconocidos en ese directorio y conexiones salientes hacia direcciones no reconocidas.
La lección de Plex2Shell va más allá del parche puntual. Cualquier servicio de medios autoalojado que combine exposición directa a Internet, ejecución de código bajo una cuenta de servicio y un sistema de actualización que depende del usuario final reproduce el mismo riesgo: un fallo de severidad media, bien encadenado y publicado con prueba de concepto, se convierte en infraestructura alquilable para terceros en cuestión de horas. La ventana entre divulgación y explotación ya no se mide en semanas, sino en días, y la factura la pagan el ancho de banda, la electricidad y la reputación de la IP del afectado.