Plex2Shell: Hacker kapern Plex-Server kurz nach Exploit-Offenlegung
Nutzer des Plex Media Servers müssen dringend ihre Software aktualisieren. Angreifer nutzen derzeit aktiv eine kritische Schwachstelle namens Plex2Shell aus. Sie kapern ungepatchte Systeme, um Krypto-Miner und Proxy-Software zu installieren.
Die Angriffe starteten bereits wenige Stunden nach der Veröffentlichung technischer Details und eines Exploits. Die Täter haben es auf die Rechenleistung und die Internetanbindung der Opfer abgesehen.
Auf kompromittierten Systemen installieren sie den Krypto-Miner XMRig, um nach Kryptowährungen zu schürfen. Zudem verteilen die Angreifer das Programm myawesomeproxy, das den infizierten Heimserver in einen Knotenpunkt für fremden Datenverkehr verwandelt. Weltweit sind knapp 49.000 Installationen ungeschützt, davon etwa 17.600 in Europa.
Durch einen Fehler im Python-basierten Plug-in-System greifen die Angreifer das Administrator-Token ab und erlangen die volle Kontrolle. Anschließend laden sie über eine manipulierte Videodatei eine Programmbibliothek auf den Server. Plex legt diese Datei im Verzeichnis für Video-Codecs ab. Das System führt den Code automatisch aus, sobald es eine Datei für ein Abspielgerät transkodiert.
Laut Kraken-Sicherheitschef Nick Percoco nistet sich die Payload dauerhaft in dem Verzeichnis ein, weshalb es nichts nützt, den Krypto-Miner manuell zu beenden. Der Schadcode startet bei jeder neuen Video-Umwandlung erneut. Plex veröffentlichte bereits im August 2026 ein Sicherheitsupdate und entlohnte den Entdecker mit 500 Dollar. Plex empfiehlt allen Server-Betreibern, so schnell wie möglich auf die aktuelle Version zu aktualisieren.
Während Windows und Mac eine optionale Funktion für automatische Updates bieten, erfordern Installationen unter Linux oder Docker manuelles Eingreifen. Wie gefährlich ungepatchte Medien-Server sind, zeigte ein Vorfall im Jahr 2023. Damals soll laut einem Bericht eine Lücke in einer Mediensoftware, angeblich Plex, als Einfallstor gedient haben: Angreifer drangen so in den Heimrechner eines DevOps-Ingenieurs beim Passwortmanager LastPass ein. LastPass und Plex haben diese Verbindung jedoch nicht öffentlich im Detail bestätigt.
Nutzt ihr Plex für eure Medien und habt das Update bereits installiert? Teilt eure Gedanken zur Sicherheit von Heimservern unten in den Kommentaren mit uns!
Siehe auch:
- Kriminelle kapern über die Exploit-Kette Plex2Shell veraltete Plex-Server
- Betroffen sind alle Server-Versionen, die älter als 1.43.3.10861 sind
- Auf gekaperten Systemen wird heimlich Krypto-Mining und Proxy-Dienst betrieben
- Die Schwachstelle erlaubt die Übernahme via manipulierter Rückruf-Adresse
- Schadcode nistet sich dauerhaft ein und startet bei Videotranskodierung neu
- Weltweit sind knapp 49.000 Installationen des Plex Media Server ungeschützt
Plex-Server unter Beschuss
Nutzer des Plex Media Servers sollten dringend ihre Systeme aktualisieren. Die Software zur Bereitstellung privater Medieninhalte kommuniziert standardmäßig über Port 32400 und weist eine kritische Lücke auf. Angreifer nutzen eine als Plex2Shell bekannte Exploit-Kette aktiv aus, um Server-Versionen älter als 1.43.3.10861 zu kapern.Die Angriffe starteten bereits wenige Stunden nach der Veröffentlichung technischer Details und eines Exploits. Die Täter haben es auf die Rechenleistung und die Internetanbindung der Opfer abgesehen.
Auf kompromittierten Systemen installieren sie den Krypto-Miner XMRig, um nach Kryptowährungen zu schürfen. Zudem verteilen die Angreifer das Programm myawesomeproxy, das den infizierten Heimserver in einen Knotenpunkt für fremden Datenverkehr verwandelt. Weltweit sind knapp 49.000 Installationen ungeschützt, davon etwa 17.600 in Europa.
So funktioniert Plex2Shell
Wie der Sicherheitsforscher ZM auf dem Blog ZMain berichtet, setzt sich Plex2Shell aus vier Schwachstellen zusammen. Der Plex Media Server vertraut lokalen Anfragen über die Loopback-Adresse 127.0.0.1 fast blind. Die Angreifer nutzen das aus, indem sie dem Server beim Registrieren eines Abspielgeräts eine manipulierte Rückruf-Adresse übergeben. Der Server stellt daraufhin interne Anfragen an sich selbst.Durch einen Fehler im Python-basierten Plug-in-System greifen die Angreifer das Administrator-Token ab und erlangen die volle Kontrolle. Anschließend laden sie über eine manipulierte Videodatei eine Programmbibliothek auf den Server. Plex legt diese Datei im Verzeichnis für Video-Codecs ab. Das System führt den Code automatisch aus, sobald es eine Datei für ein Abspielgerät transkodiert.
Laut Kraken-Sicherheitschef Nick Percoco nistet sich die Payload dauerhaft in dem Verzeichnis ein, weshalb es nichts nützt, den Krypto-Miner manuell zu beenden. Der Schadcode startet bei jeder neuen Video-Umwandlung erneut. Plex veröffentlichte bereits im August 2026 ein Sicherheitsupdate und entlohnte den Entdecker mit 500 Dollar. Plex empfiehlt allen Server-Betreibern, so schnell wie möglich auf die aktuelle Version zu aktualisieren.
Während Windows und Mac eine optionale Funktion für automatische Updates bieten, erfordern Installationen unter Linux oder Docker manuelles Eingreifen. Wie gefährlich ungepatchte Medien-Server sind, zeigte ein Vorfall im Jahr 2023. Damals soll laut einem Bericht eine Lücke in einer Mediensoftware, angeblich Plex, als Einfallstor gedient haben: Angreifer drangen so in den Heimrechner eines DevOps-Ingenieurs beim Passwortmanager LastPass ein. LastPass und Plex haben diese Verbindung jedoch nicht öffentlich im Detail bestätigt.
Nutzt ihr Plex für eure Medien und habt das Update bereits installiert? Teilt eure Gedanken zur Sicherheit von Heimservern unten in den Kommentaren mit uns!
Wer ist von Plex2Shell betroffen?
Betroffen sind Heimserver, auf denen der Plex Media Server in einer Version älter als 1.43.3.10861 läuft und die aus dem Internet erreichbar sind. Die Angreifer benötigen keine echten Zugangsdaten, um über die Lücke Admin-Zugriff auf den Plex-Server zu erlangen und dort Code auszuführen.
Wie installiere ich das Plex-Update?
Windows- und Mac-Nutzer können die Software über die integrierten Einstellungen aktualisieren. Diese Funktion steht jedoch standardmäßig auf "Ask me" (Nachfragen) und installiert das Update nicht von allein.
Unter Linux, als Docker-Container oder auf einem NAS-System müsst ihr das Update manuell oder über die Paketverwaltung einspielen.
Unter Linux, als Docker-Container oder auf einem NAS-System müsst ihr das Update manuell oder über die Paketverwaltung einspielen.
Reicht es, den Plex-Miner zu beenden?
Nein, laut Nick Percoco, Sicherheitschef von Kraken, nistet sich die Schadsoftware im Codecs-Verzeichnis ein. Beendet ihr nur den Miner, startet der Schadcode erneut, sobald der Server das nächste Mal eine Videodatei transkodiert (umwandelt).
Der Code läuft dabei mit denselben Zugriffsrechten wie der Plex-Dienst selbst.
Der Code läuft dabei mit denselben Zugriffsrechten wie der Plex-Dienst selbst.
Was macht der Proxy auf dem Server?
Das von den Angreifern installierte Programm "myawesomeproxy" leitet fremden Datenverkehr über euren Heimserver. Der Forscher, der die Angriffe beobachtet hat, vermutet, dass Angreifer solche privaten Internetanschlüsse gern nutzen würden, um auf Firmen-VPNs oder E-Mails zuzugreifen.
Die Software blendet dabei einen Hinweis ein, wonach ihr durch die Ausführung der externen Nutzung eurer Internetverbindung zustimmt.
Die Software blendet dabei einen Hinweis ein, wonach ihr durch die Ausführung der externen Nutzung eurer Internetverbindung zustimmt.
Warum erzwingt Plex das Update nicht?
Plex empfiehlt die Aktualisierung bislang nur, obwohl das Unternehmen laut Nutzungsbedingungen ein Update vorschreiben darf. Bei einer anderen Lücke im Jahr 2025 griff der Hersteller härter durch. Damals sperrte Plex den Server-Zugang für Mitnutzer, bis der Besitzer die Software aktualisiert hatte.
Thema:
Nadine DresslerRedakteurin für Windows & Netzwerke
Seit 2001 im Journalismus, klassisch ausgebildet, Autorin eines Windows-Buches. Ihre Themen reichen von Insider-Builds über die FritzBox bis zu DSL und Starlink.
