Η Plex επιβεβαίωσε στις 19 Οκτωβρίου ότι τέσσερα κενά του Plex Media Server, όταν συνδυαστούν, επιτρέπουν σε επιτιθέμενο χωρίς λογαριασμό να εκτελέσει κώδικα στον server μέσω διαδικτύου. Μετά τη δημοσίευση κώδικα επίδειξης στις 16 Οκτωβρίου οι επιθέσεις έγιναν μαζικές, με εγκατάσταση προγραμμάτων εξόρυξης κρυπτονομισμάτων και λογισμικού proxy. Η CISA πρόσθεσε τα CVE-2026-96652, -96654, -96655 και -96656 στον κατάλογο ευπαθειών με γνωστή εκμετάλλευση στις 20 Οκτωβρίου. Η διόρθωση υπάρχει από την έκδοση 1.43.3.10861.
Τι σημαίνει: Το Plex είναι από τα πιο διαδεδομένα προγράμματα για προσωπικές βιβλιοθήκες ταινιών και μουσικής, και τρέχει συχνά σε NAS, σε παλιούς υπολογιστές ή σε μικρούς servers γραφείων. Πολλοί το έχουν ανοίξει στο διαδίκτυο για να βλέπουν περιεχόμενο εκτός σπιτιού, χωρίς να το σκεφτούν ως υπηρεσία που χρειάζεται συντήρηση. Αυτό το κάνει ιδανικό στόχο: ένα μηχάνημα που μένει αναμμένο όλο το εικοσιτετράωρο, με καλή σύνδεση και συχνά με πρόσβαση σε κοινόχρηστους φακέλους του δικτύου. Η διόρθωση κυκλοφόρησε από τις αρχές Σεπτεμβρίου, όμως οι μαζικές επιθέσεις ξεκίνησαν μόλις δημοσιεύτηκε κώδικας επίδειξης, κάτι που δείχνει ότι το κρίσιμο διάστημα είναι οι μέρες μετά τη δημόσια ανάλυση ενός κενού. Ειδικά τα NAS καθυστερούν, γιατί τα καταστήματα εφαρμογών των κατασκευαστών δεν φέρνουν πάντα αμέσως τη νέα έκδοση και χρειάζεται χειροκίνητη εγκατάσταση. Για όποιον τρέχει Plex, τα βήματα είναι απλά: έλεγχος έκδοσης στις ρυθμίσεις, ενημέρωση, και κλείσιμο της απομακρυσμένης πρόσβασης αν δεν χρησιμοποιείται. Αν ο server ήταν παλιός και εκτεθειμένος, η πιο σίγουρη λύση είναι καθαρή εγκατάσταση, αλλαγή κωδικού του λογαριασμού και έλεγχος όσων φακέλων και κωδικών ήταν προσβάσιμοι από το ίδιο μηχάνημα. Για μικρές επιχειρήσεις, το περιστατικό είναι υπενθύμιση να καταγράφουν ποιες συσκευές του δικτύου τους είναι ανοιχτές προς τα έξω, γιατί ένας ξεχασμένος media server μπορεί να γίνει η πόρτα για όλο το δίκτυο.
Διαβάστε το πρωτότυπο στο Plex
Σχετική υπηρεσία: Ανάπτυξη λογισμικού