CISA alerte sur des attaques réelles exploitant Plex2Shell sur Plex Media Server
La chaîne Plex2Shell enchaîne quatre failles de Plex Media Server pour voler des jetons d'administration ; les agences fédérales américaines ont jusqu'au 23 octobre.
La CISA a averti que des attaques réelles, baptisées Plex2Shell, exploitent une chaîne de quatre vulnérabilités de Plex Media Server et a demandé des mesures de sécurité d'urgence, rapporte dailysecu.com. Les serveurs concernés sont les versions antérieures à 1.43.3.10861 ; les versions ultérieures corrigent les failles.
Selon la description de l'attaque, Plex2Shell permet à un attaquant d'abuser de fonctions internes du serveur pour dérober des jetons d'authentification administrateur et exécuter à distance un logiciel malveillant sans se connecter. Les quatre vulnérabilités visées sont CVE-2026-96652, CVE-2026-96654, CVE-2026-96655 et CVE-2026-96656.
Un chercheur en sécurité a évalué le risque global de l'attaque à 9,8 sur 10. La CISA a ordonné aux agences fédérales américaines d'achever les mises à jour de sécurité ou les mesures d'atténuation au plus tard le 23 octobre.
Certains serveurs compromis ont été retrouvés en train d'exécuter des programmes de minage de cryptomonnaies ou de relayer le trafic d'autres attaques.
Divulgation et publication d'un code d'exploitation
Le chercheur en sécurité Zach Main avait signalé les problèmes à Plex le 27 juillet. Le 16 octobre, une analyse technique et un code d'exploitation de démonstration ont été publiés, après quoi les tentatives d'attaque réelles se sont multipliées. Plex a confirmé que des attaques de grande ampleur visaient des serveurs non corrigés exposés à internet.
En bref
Quelles versions de Plex Media Server sont vulnérables ?
Les versions antérieures à 1.43.3.10861 ; les versions ultérieures corrigent les quatre vulnérabilités.
Quelle est l'échéance fixée par la CISA ?
Les agences fédérales américaines doivent achever les mises à jour de sécurité ou les mesures d'atténuation au plus tard le 23 octobre.