Tóm tắt nhanh
- Plex2Shell ghép bốn lỗ hổng thành đường thực thi mã từ xa không cần đăng nhập trên máy chủ Plex có cổng 32400 mở ra Internet.
- Plex Media Server 1.43.3.10861, phát hành ngày 3/8/2026, đã vá chuỗi lỗi. Mã khai thác mẫu được công khai ngày 16/10 và các cuộc tấn công thực tế xuất hiện ngay sau đó.
- Payload được ghi nhận gồm XMRig đào Monero và phần mềm proxy myawesomeproxy, biến máy nhà thành điểm trung chuyển lưu lượng của người khác.
- Việc cần làm: cập nhật ngay, tắt Remote Access hoặc bỏ mở cổng nếu không cần, và dùng VPN cá nhân khi phải truy cập từ xa.
Các máy chủ Plex Media Server chưa cập nhật đang bị khai thác để cài đào tiền ảo và proxy trái phép, dù lỗi đã được vá từ đầu tháng 8. Điều đáng để ý không nằm ở một lỗ hổng nghiêm trọng đơn lẻ, mà ở chỗ bốn lỗi mức trung bình khi đứng riêng lại nối được thành một đường tấn công không cần mật khẩu. Máy dễ bị bỏ sót nhất là loại máy cài Plex rồi quên: một chiếc NAS hay một máy tính cũ vẫn chạy ngầm trong góc nhà.
Bốn lỗi riêng lẻ ghép thành quyền chạy mã từ xa
Chuỗi Plex2Shell gồm bốn CVE, mỗi lỗi đảm nhận một mắt xích:
| Mã CVE | Điểm CVSS | Vai trò trong chuỗi |
|---|---|---|
| CVE-2026-96652 | 5,3 | SSRF không cần xác thực qua endpoint /player/timeline, buộc máy chủ gửi yêu cầu tới địa chỉ kẻ tấn công chọn |
| CVE-2026-96654 | 6,9 | Gọi được hàm của plugin qua endpoint searchOne, từ đó lấy token quản trị của chủ máy |
| CVE-2026-96655 | 5,3 | SSRF qua luồng chuyển mã /video/:/transcode/universal, dùng để tải tệp độc hại |
| CVE-2026-96656 | 8,6 | Ghi tệp .so vào thư mục Codecs theo đường dẫn do kẻ tấn công chọn, rồi Plex nạp và chạy tệp đó |
Số liệu: The Hacker News
Đứng riêng, mỗi lỗi chỉ cho kẻ tấn công một quyền nhỏ: khiến máy chủ gửi một yêu cầu thay mình, hoặc chạm tới một giao diện vốn chỉ dành cho nội bộ. Nối lại thì họ có token quản trị, đặt được tùy chọn bộ mã hóa video để ghi dữ liệu nhị phân vào thư mục codec. Lần chuyển mã kế tiếp, Plex tự nạp tệp đó và chạy mã với quyền của tài khoản plex. Theo phân tích của người tìm ra lỗi, chuỗi này áp dụng cho các bản cũ hơn 1.43.3.10828, còn bản 1.43.3.10861 là bản vá đầy đủ. Khi tính CVSS 3.1 cho cả chuỗi, người này cho ra 9,8, một mức cao hơn hẳn bất kỳ mắt xích nào khi xét riêng.
Máy chủ mở ra Internet mới là vấn đề thật
Điều kiện then chốt là kẻ tấn công phải tới được cổng của Plex từ bên ngoài. Plex mặc định lắng nghe cổng 32400. Mở cổng này trên router, bật Remote Access để xem phim khi đi xa, hay đặt Plex trên VPS, đều đưa giao diện đó ra Internet. Một máy chỉ chạy trong mạng LAN, không có quy tắc chuyển tiếp nào từ router, thì kẻ tấn công bên ngoài không tiếp cận được chuỗi này.
Nhiều gia đình chạy Plex trên NAS vì vừa lưu được phim vừa chạy dịch vụ, nên thiết bị ít khi được mở ra xem lại. Chính sự tiện đó khiến máy hay bị quên. Nhãn NAS tự nó không quyết định rủi ro; phiên bản Plex đang chạy trên máy và việc máy có đang mở ra Internet mới là hai thứ cần kiểm tra.
Hậu quả không dừng ở máy chạy chậm hay tiền điện tăng. Myawesomeproxy là một backdoor kiêm reverse proxy chạy trên Linux, nên kết nối Internet của máy nhà có thể bị dùng để chuyển tiếp lưu lượng của bên khác. Lưu lượng đó mang địa chỉ IP nhà bạn. Nếu có hành vi xấu phát sinh qua proxy ấy, dấu vết đầu tiên sẽ dẫn về nhà bạn.
Bản vá có từ tháng 8, nhưng cửa sổ tấn công mở sau khi PoC công khai
Lỗi được báo cho Plex ngày 27/7/2026. Plex xác nhận và phát hành bản vá 1.43.3.10861 ngày 3/8. Như vậy bản sửa đã nằm sẵn hơn hai tháng trước khi mã khai thác đầy đủ lộ ra ngày 16/10. Với máy được cập nhật đều, khoảng cách này không đáng kể. Với máy bị bỏ quên, khoảng cách đó là một cánh cửa mở.
Các cuộc khai thác thực tế bắt đầu chỉ một ngày sau khi PoC công khai. Một chi tiết cần thận trọng: người dùng Plex trên Reddit báo bị cài đúng payload XMRig tên mylovelyminer, nhưng báo này cho biết chưa rõ có phải do Plex2Shell gây ra hay không. Với các báo cáo lẻ tẻ như vậy, nên chờ thêm xác nhận trước khi kết luận.
Cập nhật trước, rồi thu hẹp đường truy cập từ xa
Việc đầu tiên là kiểm tra phiên bản Plex Media Server và nâng lên 1.43.3.10861 hoặc mới hơn. Plex có thể tự cài bản cập nhật nếu được bật tính năng đó; nếu đã tắt thì phải tải thủ công. Đừng tin vào cảm giác rằng máy đã được cập nhật từ lâu.
Sau đó, rà lại mục Remote Access và danh sách cổng chuyển tiếp trên router. Nếu chỉ xem trong nhà, tắt truy cập từ xa là cách gọn nhất. Khi cần xem phim lúc đi xa, VPN cá nhân như WireGuard hoặc Tailscale đưa thiết bị vào mạng riêng, nhờ vậy giao diện Plex không phải phơi ra Internet. Đặt Plex sau reverse proxy cũng là một hướng, nhưng cấu hình đó phức tạp hơn nhiều so với việc đóng cổng, và người dùng gia đình ít khi có thời gian giữ nó đúng cách.
Máy đã từng chạy bản cũ và mở ra Internet cần rà thêm một bước. Bản vá chặn được khai thác mới, nhưng không tự dọn mã độc đã cài từ trước. Hãy tìm tiến trình lạ, mức CPU bất thường và kết nối mạng không rõ đích. Nếu thấy dấu hiệu đáng ngờ, ngắt máy khỏi mạng và rà soát trước khi dùng lại.
Nguồn tham khảo: Zach Main – Plex2Shell; The Hacker News; Ars Technica; Shattered
