Plex Media Serverの脆弱性4件「Plex2Shell」が実際のサイバー攻撃で悪用、暗号資産マイナーやプロキシソフトの稼働を確認

Plexは2026年10月19日、メディアサーバーソフト「Plex Media Server」の脆弱性4件を組み合わせた攻撃「Plex2Shell」が実際に悪用されていると明らかにしました。インターネットに公開された未更新サーバーを狙う攻撃が広く観測され、侵害されたサーバーで暗号資産マイナーやプロキシソフトが動作しているとしています。

修正は9月に公開済みで、Plexはバージョン1.43.3.10861以降への更新と、侵害の有無の確認を呼びかけています。攻撃の観測は、研究者が10月16日に技術的な詳細と実証コードを公開した翌17日から報告されています。

Plex2Shellの実悪用と脆弱性のサマリー

• 2026年10月19日、PlexがPlex2Shellの広範な実悪用を公式に確認しました。
• 「Plex2Shell」は、Plex Media Serverの4件の脆弱性を連鎖して悪用する攻撃手法です。
• 対象のCVEはCVE-2026-96652、CVE-2026-96654、CVE-2026-96655、CVE-2026-96656です。
• 条件が成立すると、攻撃者は有効な認証情報を持たずに、Plex Media Serverプロセスと同じ権限で任意のコードを実行できます。
• 影響対象はPlex Media Server 1.43.3.10861未満で、同バージョン以降は今回の4件の脆弱性の影響を受けません。
• 修正プログラムは9月1日までに公開済みです。研究者による詳細と実証コードの公開は10月16日でした。
• 10月17日、公開サーバーを模したハニーポットで攻撃が観測され、XMRig系マイナーや「myawesomeproxy」と呼ばれるプロキシソフトの配置が確認されました。
• Plexは感染兆候がある場合、単なるアップデートだけでなく、クリーンな環境からの再構築などを推奨しています。

Plex2Shellを構成する4件の脆弱性

Plexが公表した4件の概要は次のとおりです。個々の問題を組み合わせることで、外部からの操作をPlex Media Server内部の高い権限が必要な処理へつなぎ、最終的にコード実行へ至るとされています。

これらは単独の脆弱性の深刻度だけでなく、連鎖による影響を考慮する必要があります。攻撃者はサーバーが外部公開されている場合、認証情報を持たずに攻撃を成立させる可能性があります。

PoC公開翌日の10月17日に実攻撃を観測

脆弱性を発見した研究者は7月27日にPlexへ報告し、Plex側は8月4日に受領と報奨を確認したとされています。Plexは9月1日、サーバー向け修正版の提供を案内し、利用者へ速やかな更新を求めていました。

その後、10月16日に研究者が攻撃手法の解説とPoCを公開しました。別の研究者がインターネット上に設置していた脆弱なPlexサーバーのハニーポットでは、10月17日朝からこの攻撃手法を用いた侵入活動が観測されました。

観測されたファイルには、暗号資産マイニングに使われるXMRig系ソフトのほか、「myawesomeproxy」と呼ばれるプログラムが含まれていました。後者は感染した端末のネットワーク接続を第三者の通信に利用するプロキシソフトとみられます。これはハニーポットで観測された活動であり、すべての侵害サーバーに同じソフトが導入されたことを意味するものではありません。

Plexも10月19日の追記で、未更新かつインターネットに公開されたサーバーへの広範な攻撃を認め、侵害先が暗号資産マイニングや第三者の通信の中継に使われていると説明しています。

Plexが示した感染兆候と管理者向け対処

Plexは、バージョン1.43.3.10861未満のサーバーをインターネットから到達できる状態で運用していた場合、侵害の可能性を前提に確認を進めるよう勧めています。

まずPlex Webの「Settings → General」でバージョンを確認し、1.43.3.10861以降へ更新します。NASのパッケージマネージャーに修正版が反映されていない場合は、Plex公式サイトから該当環境向けのパッケージを取得して手動で更新できます。

侵害の有無を確認する際は、次の兆候が手掛かりになります。

• Plex Media Serverの子プロセスとして「myawesomeproxy」「mylovelyminer」「x12345」など見覚えのないプロセスが動作していないか
• Plexの「Codecs」ディレクトリ内に不審な.soや.dllファイルが存在しないか
• proxystream.stへの外向き通信や、メディア再生がない状態での継続的な高CPU使用率がないか
• 設定ファイルPreferences.xmlに、管理者が設定していないトランスコーダー関連の項目がないか

不審な兆候がある、または侵害を否定できない場合、Plexは古いデータディレクトリを引き継がず、クリーンなインストール環境からサーバーを再構築することを推奨しています。Plexアカウントについては全端末からサインアウトし、パスワードを変更します。また、サービスアカウントがアクセス可能だったマウント済み共有フォルダーや同一サーバーに保存された認証情報も調査対象とします。

リモートアクセスが不要な場合は「Settings → Remote Access」で無効にし、必要性がない限りTCP 32400番ポートをインターネットへ直接公開しないよう案内しています。

情報システム部門が確認すること

社内や関連施設でPlex Media Serverを利用している場合は、Windows、macOS、Linux、NAS、Dockerなどの導入先を洗い出し、更新状況とインターネット公開の有無を確認する必要があります。攻撃の実例があるため、パッチ適用履歴だけでなく、脆弱だった期間中のプロセス、外部通信、永続化された不審ファイルの有無まで調査することが判断材料になります。

なお、今回の4件のCVEと悪用の対象はPlex Media Serverです。Plexが9月1日にあわせて更新を案内したPlex Desktopの修正内容と混同しないようにしてください。

Plexが最初に更新を呼びかけた経緯は、セキュリティ対策Labの9月7日付Plexセキュリティ更新記事でも取り上げています。実際の悪用状況と公開資産の重要度を踏まえた更新順序の考え方は、脆弱性管理の優先順位付けと運用プロセスで解説しています。

出典

• Important Security Update for Plex Media Server v1.43.2 and earlier（10月19日追記：CVE詳細・実悪用・対処方法） – Plex公式フォーラム
• Plex vulnerabilities being exploited in the wild to drop a cryptominer（10月17日公開、10月18日追記） – boredhackerblog（ハニーポットによる独自観測）
• Plex2Shell – code-zm（脆弱性発見者による公開リポジトリ）

関連記事

Microsoft UFOのMobile MCPにCVE-2026-73296　認証なしでAndroid端末を遠隔操作されるおそれ 日本生命、内部情報持ち出しで金融庁へ調査結果を報告 XZ Utilsにバックドアが仕込まれていた (CVE-2024-3094) NEC「Aterm」シリーズのルーターで複数の脆弱性 不正アクセスで権限乗っ取りの可能性も バッファロー製Wi-Fi ルーターで複数の脆弱性(JVN#58236836、CVE-2024-23486、CVE-2024-26023) Rust PHP Node.js Haskellなど複数のプログラミング言語に影響するWindows環境の引数エスケープ処理に関する脆弱性が発生 PuTTY(パティ)で深刻な脆弱性が発生(CVE-2024-31497) AWSとGoogle CloudのCLIツールで情報漏洩の脆弱性 LeakyCLIが発生 LINE client for iOSにおけるサーバ証明書の検証不備の脆弱性 JVNVU#91696361（CWE-295、CVE-2023-5554）

投稿者：三村

セキュリティ製品を手がける上場企業にて、SOC（セキュリティオペレーションセンター）運営およびWebアプリケーション脆弱性診断の営業に8年間従事。その後、システムエンジニアへ転身し、MDMや人事系SaaSの開発に携わる。
8年の実務経験と開発者としての知見を活かし、「セキュリティ対策Lab」ではダークウェブ調査、セキュリティインシデントの分析、および高度なセキュリティ対策解説の執筆・編集を統括しています。
LinkedIn(外部サイト)