Plex四洞连环 家用服务器变矿机

家里那台24小时开机的Plex媒体服务器，可能正在替别人赚钱。据Ars Technica报道，Plex媒体服务器的四个漏洞已被串成一条完整的攻击链，代号「Plex2Shell」，公开的利用代码10月16日出现，第二天就有研究者的蜜罐抓到了真实攻击。攻击成功后，机器会被装上挖矿程序和住宅代理软件。

漏洞本身并不新。Plex在9月1日就修复了媒体服务器1.43.2及更早版本中的安全问题，并通过邮件和论坛公告通知用户；9月26日，四个CVE编号公开：CVE-2026-96652、CVE-2026-96654、CVE-2026-96655、CVE-2026-96656，其中最高评分8.6。问题在于，从补丁到武器化只用了六周。

这条链的走法相当精巧：攻击者先向播放时间线接口发请求，把protocol参数指回服务器自己的127.0.0.1:32400；再借内部代理接口，让服务器「主动」去拉取架在sslip.io上的攻击者内容，从而骗到所有者级授权；拿到权限后写入任意文件，最后利用Plex加载编解码库时不校验签名和路径的机制，让恶意库在转码器启动时执行，权限等同于Plex进程本身。

10月17日，也就是利用代码公开的次日，一台运行旧版本的蜜罐就记录到了攻击。首个来源IP是45.194.92.222，随后是91.92.40.202和176.65.139.228，请求的User-Agent为Python-urllib/3.10——明显是脚本在批量扫描，不是人工操作。

落地的载荷有两种。第一种是XMRig挖矿程序，代价是主人的电费和硬件寿命；第二种叫myawesomeproxy，启动时会「温馨提示」：在本机运行该软件即表示同意他人使用你的网络流量。它把被感染主机变成住宅代理出口，流量指向proxystream.st域名，载荷托管在217.60.194.116。相比挖矿，这才是更值得警惕的部分——住宅IP能访问企业VPN和网页邮箱，正是代理买家愿意付钱的东西。

为什么家庭和NAS用户特别危险？这类设备常年为了远程看片把32400端口暴露在公网，而NAS的系统更新往往不会自动跟进，Plex也专门提醒过部分NAS平台需要手动升级。此前扫描数据显示，9月时仍有超过3.6万台对公网开放的Plex实例没有打补丁。

处置办法不复杂：把媒体服务器升到1.43.3.10828（部分渠道为1.43.3.10861）或更新版本；检查Codecs目录里有没有陌生的so或dll文件；如果不需要外网访问，就把远程访问关掉。还有一条被蜜罐实测有效的招数——限制Plex主机的出网流量：封掉出网后，攻击请求照样能打进来，但载荷下不来，链就走不完。

编译自 Ars Technica，原标题："PSA: Patch your Plex media server before someone hacks it"