Plexの複合脆弱性「Plex2Shell」を突く攻撃が観測、暗号資産マイナーやLinuxバックドアを設置

要点

• メディアサーバー「Plex Media Server」の4つの脆弱性を連鎖させ、認証なしで遠隔コード実行を可能にする攻撃手法「Plex2Shell」の悪用が確認された。

• 概念実証コード（PoC）の公開翌日から実際の攻撃活動が観測され、暗号資産マイナーや不正なリバースプロキシが設置されている。

• 当該の脆弱性群は2026年7月に報告され、同年8月にリリースされた修正版ですでに対策されている。

• 攻撃の通信先ドメインの一部は、ボットネット「AISURU」に関与していたことが過去の調査で判明している。

• メディアサーバーソフトウェア「Plex Media Server」において、複数の脆弱性を組み合わせて不正なプログラムを送り込む攻撃が確認された。セキュリティ専門メディア「The Hacker News」が2026年10月19日に報じた内容によると、実証コード公開の直後から暗号資産の採掘ツールや不正な中継プログラムを勝手に設置する活動が観測されているという。

4つの脆弱性を連鎖させてRCEを実現する「Plex2Shell」の仕組み

今回の攻撃で悪用されているのは、「Plex2Shell」と総称される4つの脆弱性の連鎖（チェーン）だ。オンライン上で「boredhackerblog」と名乗る研究者がその手口を報告している。攻撃者は認証がない状態から、4段階の手順を踏んで標的サーバー上で任意のプログラムを実行する。

連鎖の起点となるのは「CVE-2026-96652」（CVSSスコア5.3）だ。これは「/player/timeline」エンドポイントにおいてパラメータ「protocol」の検証が欠落している未認証のSSRF（サーバーサイド・リクエスト・フォージェリ：サーバーに外部への不正通信を強制させる脆弱性）であり、Plexサーバーから任意の宛先へPOSTリクエストを送信させる。

続いて悪用されるのが「CVE-2026-96654」（CVSSスコア6.9）だ。「searchOne」エンドポイントに含まれるURL値の無効化処理の不備を突き、他のプラグイン機能を呼び出して独自パラメータを渡すことで、サーバー所有者の管理者トークンを不正に取得する。

管理者トークンを入手した攻撃者は、第3の脆弱性「CVE-2026-96655」（CVSSスコア5.3）を突く。認証済みユーザーが任意の通信先を指定できるSSRF脆弱性を利用し、悪意あるELF形式（Linux環境の実行ファイル形式）のバイナリを含んだ動画ファイルを読み込ませる。

最後に「CVE-2026-96656」（CVSSスコア8.6）が悪用される。ファイル名やパスの外部制御に関する不備を突き、「Codecs」ディレクトリ内の任意パスにELF共有オブジェクトを配置して実行させる。これらを順に組み合わせることで、認証なしでのリモートコード実行（RCE：遠隔から任意のプログラムを実行できる状態）が成立するという。

観測された攻撃活動と展開される不正プログラム

この攻撃手法に関する技術的詳細と概念実証コード（PoC：脆弱性の実証用コード）は、2026年10月16日に公開された。しかし、そのわずか翌日には実際のネットワーク上で悪用を試みる通信が観測され始めた。攻撃は「91.92.40[.]202」「176.65.139[.]228」「45.194.92[.]222」といったIPアドレスから行われ、外部サーバー「217.60.194[.]116」から不正なファイルが配信されていた。

侵害された環境では、複数の不正プログラムが同時に展開されている。1つは「myawesomeproxy」と呼ばれるファイルで、セキュリティ分析プラットフォーム「VirusTotal」の検査によると、密かに通信を中継するLinux向けのバックドアおよびリバースプロキシ（通信を中継する仕組み）として機能する。実行すると「このソフトウェアを実行することは、トラフィックが外部から利用される可能性に同意したとみなされます」という趣旨のメッセージが表示される仕様となっていた。

並行して「mylovelyminer」と呼ばれる暗号資産マイニングソフト「XMRig」のプロセスも稼働させられていた。採掘サーバーの通信先は「ota.proxystream[.]st」に設定されている。このドメインに関連する別アドレス「global.relay.proxystream[.]st」は、2026年8月にセキュリティ企業Bitsightがボットネット「AISURU」との関連を指摘していたドメインと一致する。

オンラインコミュニティのRedditでも、自身のPlexサーバーに同様のマイナーが設置されたと報告するユーザーが現れているが、現段階でPlex2Shellの悪用によるものかは断定されていない。

発見と修正の経緯

Plex2Shellを構成する脆弱性群は、セキュリティ研究者のZach Main氏が発見したものだ。同氏は関連する別の脆弱性「CVE-2026-96651」（CVSSスコア7.1）とともに、2026年7月27日にPlex社へ詳細を報告した。Plex社は2026年8月3日に公開した「Plex Media Server 1.43.3.10861」でこれらの問題を修正している。

Plex社は2026年9月にも不特定のセキュリティ欠陥を修正したアップデートを案内し、利用者に対して最新版への更新を求めていた。今回の脆弱性がその注意喚起に含まれていたかは不明で、現在The Hacker NewsはPlex社にコメントを求めているとしている。