A Plex confirmou exploração ativa e generalizada de uma cadeia de quatro vulnerabilidades no Plex Media Server. Conhecida por pesquisadores como Plex2Shell, a cadeia combina falhas de SSRF, acesso a funções internas, exposição de token administrativo e gravação arbitrária de arquivos. Um atacante remoto não autenticado pode encadear os problemas para executar código com os privilégios do processo Plex.
A CISA incluiu as quatro CVEs no catálogo Known Exploited Vulnerabilities em 20 de outubro de 2026. O alerta é especialmente relevante para servidores instalados em NAS, computadores domésticos e redes pequenas com acesso remoto habilitado ou encaminhamento da porta 32400.
Quais são as quatro vulnerabilidades
A CVE-2026-96652 é uma falsificação de requisição do lado do servidor, ou SSRF, no endpoint de linha do tempo do player. Ela permite que o Plex faça requisições para um destino escolhido pelo atacante usando um valor de token Plex.
A CVE-2026-96654 permite acessar funções internas do agente por meio da interface de loopback. A CVE-2026-96655 pode expor o token administrativo do proprietário do servidor. Com esse token, o atacante ganha capacidade adicional de interagir com componentes internos e configurações do Plex.
A CVE-2026-96656 permite gravação arbitrária de arquivos no diretório Codecs por meio das preferências do transcoder. A escrita de um arquivo controlado no local correto fornece o componente necessário para transformar o acesso às funções internas em execução de código.
Isoladamente, cada falha apresenta um risco diferente. Encadeadas, elas podem permitir que um atacante não autenticado execute código com os privilégios do processo Plex Media Server. O impacto final depende das permissões desse processo, dos compartilhamentos montados e dos dados acessíveis no host.
Exploração confirmada pela Plex
No aviso oficial, a Plex informou que as vulnerabilidades estão sendo exploradas de forma ativa e ampla contra servidores expostos à internet. A empresa observou casos em que servidores comprometidos foram usados para executar mineradores de criptomoedas e software proxy, redirecionando o tráfego de terceiros pela conexão da vítima.
Essa informação diferencia o caso de uma vulnerabilidade apenas teórica. Servidores que continuam em versão antiga e podem ser alcançados pela internet devem ser tratados como potencialmente comprometidos, mesmo que não apresentem uma falha visível na interface.
Versão corrigida
O Plex Media Server 1.43.3.10861 ou posterior não é afetado por essa cadeia, segundo a Plex. A orientação é verificar a versão mostrada em Plex Web, em Settings → General, e não confiar somente na versão do pacote disponível no gerenciador do NAS.
Em alguns dispositivos NAS, a versão corrigida pode demorar a aparecer na loja do fabricante. A Plex recomenda usar o pacote apropriado para a plataforma quando a atualização automática ou o gerenciador do NAS ainda não oferecer a versão corrigida. O procedimento deve respeitar o método de instalação e backup do equipamento.
Instalações em Docker também precisam ser atualizadas. Recriar o container com uma imagem corrigida não deve ser confundido com reutilizar cegamente um diretório de dados comprometido.
Sinais de possível comprometimento
A Plex recomenda procurar processos iniciados pelo Plex Media Server que não sejam reconhecidos. O aviso cita nomes como myawesomeproxy, mylovelyminer e x12345, mas a ausência desses nomes não prova que o sistema esteja limpo.
Verifique arquivos .so ou .dll desconhecidos na pasta Codecs, conexões de saída para proxystream.st e consumo de CPU persistentemente alto quando nenhum conteúdo está sendo reproduzido. Analise também processos filhos, tarefas agendadas, serviços recém-criados e alterações em arquivos de configuração.
Em NAS, examine os logs do sistema e do serviço Plex. Procure acessos incomuns, alterações de permissões, arquivos novos em compartilhamentos e conexões de saída que não correspondam ao comportamento normal do servidor. Considere que o invasor pode remover indicadores simples depois da instalação do malware.
O que fazer imediatamente
Atualize agora. Instale o Plex Media Server 1.43.3.10861 ou posterior em todos os hosts. Confirme a versão após o reinício do serviço e repita a verificação em servidores de teste, produção, NAS e máquinas pessoais.
Desative o acesso remoto se ele não for necessário. Remova o encaminhamento direto da porta 32400 e restrinja o acesso por firewall. Se o acesso remoto for indispensável, limite as origens e mantenha o servidor atualizado antes de reabrir o serviço.
Não reutilize uma instalação suspeita. Se houver indícios de comprometimento ou se um servidor antigo estava exposto e não puder ser auditado com confiança, reconstrua o servidor a partir de uma instalação limpa. A Plex recomenda não simplesmente reutilizar o diretório antigo de dados.
Como medida mínima indicada pela Plex, remova o conteúdo da pasta Codecs e examine o arquivo Preferences.xml em busca de opções de transcoder que você não configurou. Em um incidente real, prefira preservar uma cópia para análise antes da limpeza.
Proteja a conta Plex. Saia de todos os dispositivos nas configurações da conta e altere a senha. Revogue ou substitua tokens associados quando o procedimento permitir. Trate credenciais armazenadas no mesmo host e compartilhamentos montados como potencialmente expostos.
Resposta a um possível incidente
Isole o servidor da internet e dos compartilhamentos sensíveis sem destruir evidências. Preserve logs do Plex, do sistema operacional, do NAS, do firewall e do roteador. Registre a versão instalada, o período de exposição e os endereços de acesso remoto conhecidos.
Investigue mineradores, proxies, shells, bibliotecas carregadas pelo Plex e processos com conexão externa. Revise todos os arquivos que o usuário do serviço podia ler ou modificar. Em especial, verifique credenciais de compartilhamentos, arquivos de configuração, chaves SSH, tokens de API e documentos acessíveis pelo host.
Depois da contenção, reconstrua o servidor a partir de uma origem confiável, atualize para a versão corrigida e restaure somente dados revisados. Rotacione senhas e tokens de serviços que estavam armazenados no servidor ou em volumes montados. A remoção de um processo malicioso sem essa rotação pode deixar o acesso persistente por outro caminho.
Conclusão
A cadeia Plex2Shell combina quatro vulnerabilidades no Plex Media Server e já possui exploração ativa confirmada pela própria Plex. Servidores antigos expostos à internet, especialmente em NAS e redes domésticas, devem ser atualizados ou isolados imediatamente.
A versão corrigida é a 1.43.3.10861 ou posterior. Além do patch, verifique indicadores de comprometimento, desative o acesso remoto desnecessário, proteja a conta Plex e reconstrua instalações suspeitas em vez de apenas apagar arquivos maliciosos.
Fontes primárias
Plex: Important Security Update for Plex Media Server v1.43.2 and earlier.
CISA: Known Exploited Vulnerabilities Catalog.
CVE.org: CVE-2026-96652, CVE-2026-96654, CVE-2026-96655 e CVE-2026-96656.