เตือนภัย Plex2Shell ช่องโหว่ Plex Server ถูกโจมตีหลังเปิดข้อมูลเพียงไม่กี่ชั่วโมง

กลุ่มผู้ไม่หวังดีเริ่มมุ่งเป้าโจมตี Plex2Shell ซึ่งเป็นชุดช่องโหว่ความปลอดภัย 4 รายการใน Plex Media Server เพียงหนึ่งวันหลังจากรายละเอียดทางเทคนิคและโค้ดตัวอย่างการโจมตี (exploit) ถูกเผยแพร่สู่สาธารณะ

นักวิจัยผู้ค้นพบ Plex2Shell bugs ได้เผยแพร่บทความวิเคราะห์และโค้ด proof-of-concept (PoC) เมื่อวันที่ 16 ตุลาคม โดยชุดช่องโหว่ประกอบด้วย CVE-2026-96652, CVE-2026-96654, CVE-2026-96655 และ CVE-2026-96656 ซึ่งหากนำมาใช้งานร่วมกันจะช่วยให้ผู้โจมตีสามารถรันโค้ดตามใจชอบ (arbitrary code) บนเซิร์ฟเวอร์ที่เชื่อมต่อกับอินเทอร์เน็ตได้โดยไม่ต้องใช้ข้อมูลประจำตัวที่ถูกต้อง และโค้ดจะทำงานด้วยสิทธิ์เดียวกับบริการของ Plex

ลำดับเหตุการณ์เริ่มจากปัญหาดังกล่าวถูกรายงานไปยัง Plex เมื่อวันที่ 27 กรกฎาคม ซึ่งทางบริษัทได้ยืนยันช่องโหว่และมอบเงินรางวัล bug bounty ในวันที่ 4 สิงหาคม ต่อมาเมื่อวันที่ 1 กันยายน Plex ได้ประกาศส่งมอบ fixes หรือตัวแก้ไขเรียบร้อยแล้ว พร้อมแจ้งให้เจ้าของเซิร์ฟเวอร์ดำเนินการอัปเกรดทันที

อย่างไรก็ตาม นักวิจัยอีกรายหนึ่งที่ caught the attacks ผ่านการตั้งค่า Plex honeypot ที่รันเวอร์ชันที่มีช่องโหว่ระบุว่า ก่อนวันที่ 17 ตุลาคม พบเพียงการสแกนเพื่อหาข้อมูลและความพยายามโจมตีแบบทั่วไปเท่านั้น แต่ในช่วงเช้าของวันที่ 17 ตุลาคม เริ่มตรวจพบการโจมตีจริงในโลกภายนอก โดยผู้โจมตีใช้ exploit ที่ถูกเผยแพร่สู่สาธารณะมาปรับแต่งเพื่อใช้งาน

จากการตรวจสอบพบว่าผู้โจมตีได้ติดตั้งมัลแวร์ขุดเหรียญคริปโตที่พัฒนาจาก XMRig และพบโปรแกรมที่สองชื่อว่า myawesomeproxy ซึ่งเป็นซอฟต์แวร์พร็อกซีปรากฏบน honeypot ในวันเดียวกัน โดยนักวิจัยวิเคราะห์ว่า เนื่องจาก Plex มักถูกโฮสต์ผ่าน Residential IP กลุ่มผู้ไม่หวังดีจึงต้องการเข้าควบคุมเพื่อใช้เป็นทางผ่านในการเข้าถึง VPN หรืออีเมลขององค์กรต่างๆ

นักวิจัยทิ้งท้ายว่าข้อมูลดัชนีบ่งชี้การบุกรุก (indicators of compromise) ที่เผยแพร่ออกมานั้น ครอบคลุมเฉพาะกิจกรรมที่ตรวจพบบน honeypot เท่านั้น ดังนั้น Plex จึงแนะนำให้เจ้าของเซิร์ฟเวอร์ทุกรายเร่งติดตั้งเวอร์ชันล่าสุดเพื่อความปลอดภัยโดยด่วน