Hackers invadem servidores Plex e usam computadores para minerar criptomoedas

Hackers estão explorando ativamente, desde o último sábado (17), uma cadeia de quatro falhas de segurança no Plex Media Server para assumir o controle remoto de servidores domésticos. Os invasores dispensam o uso de senhas e utilizam o acesso para instalar mineradores de criptomoedas e converter os equipamentos atingidos em nós intermediários para o roteamento de tráfego anônimo (proxies).

Robô inteligente para crianças com 37% OFF: divertido e educativo – confira

A vulnerabilidade encadeada foi batizada de Plex2Shell e combina quatro falhas técnicas: uma falsificação de solicitação do lado do servidor (SSRF) sem autenticação, acesso indevido a funções internas da aplicação, roubo do token de administrador do proprietário do servidor e gravação arbitrária de arquivos no diretório de codecs. Em conjunto, essas brechas permitem a execução remota de códigos maliciosos com as mesmas permissões do próprio serviço Plex.

Invasões dispararam após publicação de código na web

A desenvolvedora do software corrigiu as brechas no início de setembro com o lançamento da versão 1.43.3. Três semanas depois, formalizou os registros de identificação das falhas: CVE-2026-96652, CVE-2026-96654, CVE-2026-96655 e CVE-2026-96656 — com índice de gravidade atingindo 8,6 em uma escala de 10.

O cenário agravou-se na sexta-feira (16), quando um pesquisador de segurança cibernética publicou um relatório detalhando a prova de conceito (PoC) capaz de conectar as quatro vulnerabilidades de forma remota e sem credenciais. Em menos de 24 horas, cibercriminosos iniciaram ataques automatizados em escala global.

Em um servidor-armadilha (honeypot) montado para monitorar a ofensiva, especialistas identificaram que os invasores instalam inicialmente um minerador de criptomoedas baseado em XMRig. Na sequência, implantam o software myawesomeproxy, projetado para camuflar acessos a e-mails e redes corporativas a partir de IPs residenciais das vítimas.

“Estas vulnerabilidades estão sendo exploradas de maneira ativa e generalizada. Se o seu servidor roda uma versão anterior à 1.43.3.10861 e está acessível pela internet, assuma que ele pode estar comprometido”, alertou a equipe do Plex em comunicado oficial publicado em seu fórum de suporte.

Conforme dados da empresa de monitoramento Shadowserver, veiculados pelo portal alemão Golem.de, mais de 48 mil servidores Plex continuam expostos diretamente à internet rodando edições vulneráveis.

Recomendações urgentes para os usuários

Para mitigar os riscos e restaurar a segurança do sistema, a desenvolvedora orienta as seguintes ações imediatas:

1. Atualização imediata: Atualizar o programa para a versão 1.43.3.10861 ou superior através do painel de configurações.

2. Varredura no sistema: Verificar no Gerenciador de Tarefas a presença de processos desconhecidos atrelados ao Plex e checar por arquivos suspeitos na pasta de codecs.

3. Sinal de infecção: Checar se há conexões de saída direcionadas ao domínio proxystream.st. Caso detectado, recomenda-se a reinstalação limpa do servidor do zero, sem reaproveitar as pastas de dados anteriores.

4. Troca de credenciais: Encerrar a sessão em todos os dispositivos conectados à conta e alterar a senha de acesso imediatamente.

5. Acesso Local: Para quem não exige acesso fora de casa, a orientação é desativar a função de acesso remoto e bloquear a porta 32400 no roteador.