Plex媒体服务器漏洞遭大规模利用：立即升级防止挖矿木马入侵

根据Ars Technica于2026年10月19日报道，Plex Media Server近期修复的一组安全漏洞正在被攻击者大规模利用。成功利用这些漏洞的攻击者可以在未打补丁的设备上安装恶意软件，包括加密货币矿工和住宅代理软件。这一威胁源于一个名为“Plex2Shell”的攻击链，它组合了四个漏洞，最终实现远程代码执行。Plex已于今年9月初发布了安全更新，但许多用户仍未升级，导致系统暴露在风险中。

漏洞链“Plex2Shell”技术解析

研究人员扎卡里·梅因（Zachary Main）在2026年10月公开了一套完整的漏洞利用代码，命名为Plex2Shell。该攻击链包括以下步骤：首先，通过未认证的服务端请求伪造（SSRF）漏洞突破网络隔离；随后利用回环跳转绕过内部限制；接着窃取安全令牌；最后递送并执行恶意负载。扎卡里·梅因表示：“这不是简单地让大语言模型‘去攻击Plex’，而是经过数小时的迭代工作、死胡同和重新优先排序。所有关于寻找什么以及优先顺序的判断都由我做出。LLM只是显著加速了这一过程，让我能保持在更高层次上指导进程。”

这四个漏洞中，严重性最高的一个被CVSS评定为8.6分。攻击者无需任何身份验证即可触发链式攻击，受害者仅需运行一个暴露在公网上的旧版本Plex Media Server。

蜜罐追踪揭示大规模扫描

在漏洞细节公开后，另一名独立研究人员迅速部署了蜜罐系统，模拟一个易受攻击的Plex Media Server。该蜜罐在一天之内就检测到针对模拟服务器的主动扫描，并随后观察到了成功的感染尝试。该研究员表示：“Plex可能托管在住宅IP上，我认为威胁行为者非常希望拥有住宅IP代理，以便访问公司VPN和电子邮件。”这说明攻击者不仅关注加密货币挖掘，还将被感染设备用作匿名代理节点，从而隐藏自己的非法活动。

截至2026年10月19日，蜜罐记录到的成功感染中，恶意负载主要包括两类：加密货币矿工（如门罗币挖矿软件）和住宅代理软件（如Proxyshell变种）。

漏洞修复时间线与CVE详情

据Plex官方论坛的公告，这些漏洞影响v1.43.2及更早版本，建议所有用户立即升级到v1.43.3或更新版本。

攻击者目的：挖矿与代理滥用

被攻陷的设备首先被植入加密货币矿工，利用受害者的CPU和GPU资源挖掘门罗币等隐私币，收益归攻击者所有。更隐蔽的是第二个负载：住宅代理软件。这种软件允许攻击者将受感染的设备纳入代理网络，从而掩盖攻击者的真实IP地址。由于这些设备位于家庭网络，属于“住宅IP”，信誉较高，通常不会被企业防火墙或反欺诈系统标记。攻击者可以利用这些IP访问受限制的公司VPN或发送钓鱼邮件。该研究员指出：“对于威胁行为者来说，拥有这样的代理资源极具价值。”

Plex用户应如何防护

Plex Media Server的默认配置是将服务暴露在公网上（端口32400），这使得设备容易被扫描到。安全专家的建议包括：

1. 立即升级至v1.43.3或更高版本，可开启自动更新；
2. 尽可能限制服务仅监听本地网络（127.0.0.1），通过VPN或反向代理暴露；
3. 避免使用默认端口，改用非标准端口可减少扫描暴露面；
4. 只使用加密连接（HTTPS）访问Plex服务；
5. 设置强密码并启用双因素认证。

正如扎卡里·梅因在报告中所说：“这个漏洞链的开发过程充分展示了现代攻击面分析的复杂性。即使Plex修复了单个漏洞，攻击者仍能通过组合利用实现突破。”

总结与展望

Plex Media Server的漏洞被利用事件再次提醒用户：任何暴露在公网上的服务都可能成为攻击目标。Plex v1.43.3补丁是阻断当前攻击链的关键一环。但考虑到攻击者已开发出成熟的利用工具且正在积极扫描，未打补丁的设备面临极高的安全风险。建议用户立即检查版本并升级，同时采取纵深防御措施。

Q1: 我的Plex Media Server如果没有暴露在公网上，是否安全？

A1: 如果服务仅监听本地网络（127.0.0.1），且没有被内网其他设备访问的风险，则相对安全。但若内网有其他设备被攻破，仍可能通过横向移动利用漏洞。建议在内部也进行补丁更新。

Q2: 我已升级到v1.43.3，还需要采取其他措施吗？

A2: 升级是首要步骤。此外，建议将Plex服务配置为仅通过安全HTTPS连接访问，并考虑使用防火墙限制来源IP。如果不需要远程访问，最好关闭UPnP和端口转发，避免服务暴露在公网。