インターネットから接続できる未修正のPlex Media Serverを狙った攻撃が確認され、暗号資産マイナーや住宅回線を中継するプロキシが仕込まれています。 Plexは修正版を公開しましたが、脆弱なサーバーは約49,000台残っていました。 4件の脆弱性が連鎖し、ログイン情報を持たない攻撃者がサーバー上でコードを実行できます。
4件の脆弱性が連鎖し、サーバー上でコードを実行
Plex Media Serverは、自宅やクラウド上で動かし、動画などのメディアを配信するソフトウェアです。 ZMと名乗る研究者は、4件の脆弱性を組み合わせた攻撃手法を「Plex2Shell」として公開しました。 該当するCVEはCVE-2026-96652、CVE-2026-96654、CVE-2026-96655、CVE-2026-96656です。
攻撃者はまず認証の不備を利用し、サーバー自身から内部機能へリクエストを送って管理者用トークンを盗みます。 そのトークンでトランスコード（再生機器に合わせて動画を変換する処理）の設定を操作し、Codecsフォルダーにファイルを書き込みます。 Plexによると、脆弱性の連鎖により、認証されていない攻撃者がサーバープロセスの権限でコードを実行できます。
影響するのは、バージョン1.43.3.10861より前のサーバーです。 Plexは8月4日に修正版を公開し、9月1日に更新を呼びかけました。 脆弱性を見つけたZMへの報奨金は500ドル（約7万9,000円）でした。
暗号資産マイナーに加え、通信中継ソフトも確認
脆弱なバージョンを動かすハニーポット（攻撃を観察するために設置したサーバー）で、10月17日に実際の攻撃が記録されました。 最初に確認されたペイロードは暗号資産マイナーで、その後、攻撃者は「myawesomeproxy」も設置しました。
プロキシソフトは、被害者の自宅回線をほかの利用者の通信経路として使います。 Plexは、稼働中の不審なプロセスやCodecsフォルダー内の見覚えのないファイル、再生していないときの継続的な高負荷などを侵害の兆候として挙げています。 ハニーポットの運営者は、攻撃元として3つのIPアドレスを観測し、マイナーなどのファイルもダウンロードしました。
Plexの集計では、土曜日時点で脆弱な状態にあり、外部から接続できたサーバーは約49,000台でした。 内訳は北米が約25,100台、欧州が約17,600台です。 Plexは、侵害の可能性を排除できない場合、古いデータディレクトリを再利用せずにサーバーを再構築し、アカウントのパスワードを変更するよう案内しています。
リモートアクセスでは直接接続と中継接続がある
Plexのリモートアクセスは、外出先のアプリから自宅のMedia Serverに接続し、個人のメディアを再生する機能です。 直接接続では、アプリがサーバーに接続します。 多くの場合は自動設定で動作しますが、環境によってはルーターでポート転送を設定する必要があります。
直接接続できない場合、Relay機能ではサーバーとアプリがそれぞれPlexのRelayサーバーへ安全に接続し、ストリームを中継します。 Relay経由のストリームは最大2Mbpsに制限され、より高い品質で再生するには直接接続が必要です。 リモートアクセスの設定では、ルーターのUPnPまたはNAT-PMP対応を利用できるほか、手動でポートを転送する方法もあります。
Plexは、リモートアクセスが不要なら無効にし、必要がない限りポート32400を直接転送しないよう勧めています。 Relayを使う場合もサーバーはインターネット経由で利用されるため、更新が必要です。 Plexは、修正版の1.43.3.10861以降へ更新し、実行中のバージョンを確認するよう案内しています。
500ドル（約7万9,000円）の報奨金は公開事例の幅の中でも低額
ZMは脆弱性を7月27日にPlexへ報告し、8月4日に500ドル（約7万9,000円）の報奨金を受け取りました。 公開されているHackerOne報奨金の集計には、リモートコード実行などの事例で2万ドル（約320万円）、2万5,000ドル（約400万円）の支払いが掲載されています。 別の集計には、OSコマンドインジェクションの事例で500ドル（約7万9,000円）、777ドル（約12万円）、3,000ドル（約47万円）の支払いがあります。
これらの集計には攻撃条件や影響が異なる報告が含まれており、Plexの報奨金と同じ条件での比較ではありません。 掲載例では、500ドル（約7万9,000円）は高額なRCE報奨金より低く、OSコマンドインジェクションの一部事例と同額です。 Gizmodoは、今回の報奨金にも複数の利用者から批判が出たと報じています。
