1 artículo con esta etiqueta
Plex2Shell es el nombre que un investigador de seguridad dio a cuatro fallos de Plex Media Server: CVE-2026-96652, CVE-2026-96654, CVE-2026-96655 y CVE-2026-96656. Según Plex, encadenados permiten a un atacante remoto sin autenticación ejecutar código con los privilegios del proceso de Plex Media Server. Los cuatro están corregidos en 1.43.3.10861, publicada para todos el 4 de agosto de 2026. El 19 de octubre (UTC), Plex escribió que los fallos se están explotando de forma activa y amplia tras la aparición de una prueba de concepto pública el 16 de octubre, y que servidores comprometidos se han usado para ejecutar mineros de criptomonedas y software de proxy. CISA añadió los cuatro a su catálogo Known Exploited Vulnerabilities (KEV) el 20 de octubre, con fechas límite del 23 de octubre y el 3 de noviembre. Por separado, cada CVE solo puntúa entre 4.3 y 7.2 (CVSS v3.1). Nuestra conclusión: si ejecuta Plex Media Server, compruebe hoy que está en 1.43.3.10861 o posterior, deje de exponer directamente el puerto 32400 salvo que necesite el acceso remoto y, si una versión anterior era accesible desde internet, siga las comprobaciones de compromiso de Plex y reconstruya el servidor si tiene dudas.