Plex Media Server: Beliebiges Schreiben von Dateien mit Codeausführung

Zusammenfassung

Plex Media Server vor 1.43.3.10861 erlaubt einem Benutzer mit Administratorrechten, über die Einstellung TranscoderH264Options beliebige Dateien zu schreiben. Diese Einstellung wird bei jeder Transkodierung ungeprüft an x264 übergeben. Beim Start lädt der Server alle .so-Dateien ohne Signatur-, Ausführungsrecht- oder Symbolprüfung, wodurch eine untergeschobene Datei ausgeführt werden kann. Die Schwachstelle wird in freier Wildbahn als Teil der Plex2Shell-Kette ausgenutzt, und öffentlicher Proof-of-Concept-Code existiert.

Betroffen

• Plex Media Server vor 1.43.3.10861

Behoben in

• Plex Media Server 1.43.3.10861 und neuer

Umgehung

• Für ungepatchte Systeme ist kein vom Hersteller bestätigter Workaround bekannt.
• Nicht validierte Empfehlung von Drittanbietern: TranscoderH264Options prüfen und bei Änderung auf den Standardwert zurücksetzen, Schreibzugriff des Plex-Prozesses auf die Plugin- und Codec-Verzeichnisse einschränken und auf neue .so-Dateien überwachen.

Ausnutzung

• Ausgenutzt: Die Schwachstelle ist im Katalog CISA KEV gelistet (aufgenommen am 20. Oktober 2026; einzelne Quellen nennen den 21. Oktober).
• Öffentlicher Proof-of-Concept-Code ist verfügbar.
• Beobachtete Aktivität umfasst Kryptomining-Payloads gegen Honeypots.
• Diese Schwachstelle erfordert ein Administratorkonto. Reale Angriffe nutzen sie als Teil einer Kette mit weiteren Plex-Schwachstellen, die ohne Anmeldung gestartet werden können.

Unsere Empfehlung

• Plex Media Server umgehend auf 1.43.3.10861 oder neuer aktualisieren.
• Prüfen, ob ein Plex-Server vor dem Patch aus dem Internet erreichbar war. Solche Server als möglicherweise kompromittiert behandeln und neu aufsetzen statt das alte Datenverzeichnis wiederzuverwenden.
• TranscoderH264Options, das Codecs-Verzeichnis auf unerwartete .so- oder .dll-Dateien sowie die Liste der Administratorkonten prüfen.
• Direkte Internetexposition von Plex-Servern entfernen, Zugriff über VPN nutzen und auf unbekannte Plex-Kindprozesse sowie unerklärlich hohe CPU-Last überwachen.

Öffentliche Exploits iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).

Links zu fremden Seiten, von uns nicht geprüft – Exploit-Code kann Schadsoftware enthalten. Nur in isolierten Testumgebungen verwenden.

• Proof of Concept auf GitHub (1 Repositories) iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).
  a3igner/plex-codec-cache-implant

Quellen der Recherche

• CVE Record CVE-2026-96656 www.cve.org
• Plex Forum: Plex Media Server announcements forums.plex.tv
• CISA CSAF advisory VA-26-266-01 raw.githubusercontent.com
• CISA Known Exploited Vulnerabilities Catalog www.cisa.gov
• zmain.info: plex2shell write-up zmain.info
• SentinelOne vulnerability database www.sentinelone.com
• BleepingComputer: Plex2Shell attacks www.bleepingcomputer.com
• plex2shell GitHub wiki github.com

Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 30.10.2026 13:41.