Immagine copertina generata con l’intelligenza artificiale
Le vulnerabilità di Plex Media Server sono già finite nel mirino dei cybercriminali. Secondo quanto riportato da Ars Technica, gli attaccanti stanno sfruttando una catena di quattro falle di sicurezza, corrette dagli sviluppatori nelle scorse settimane, per compromettere i server non aggiornati e installare software malevolo. Tra i programmi individuati figurano cryptominer e applicazioni proxy residenziali, utilizzati per sfruttare le risorse dei dispositivi infetti a vantaggio degli aggressori.
La scoperta dimostra che la pubblicazione delle patch non è sufficiente a proteggere chi continua a utilizzare versioni obsolete del software. Gli attacchi sono stati osservati concretamente da un ricercatore attraverso un sistema-esca progettato per monitorare i tentativi di intrusione. Per gli utenti, diventa quindi fondamentale verificare la versione installata e intervenire tempestivamente.
Le quattro vulnerabilità sfruttate dagli aggressori
Plex aveva corretto quattro vulnerabilità all’inizio di settembre 2026. Circa tre settimane dopo, la pubblicazione dei relativi identificativi CVE ha portato alla luce cinque vulnerabilità, una delle quali classificata con un punteggio di gravità pari a 8,6 su 10.
La settimana precedente alla pubblicazione dell’articolo di Ars Technica, un ricercatore aveva illustrato una tecnica per concatenare quattro di queste falle e ottenere l’esecuzione di codice da remoto sul dispositivo che ospita una versione vulnerabile di Plex Media Server. La catena di exploit è stata denominata Plex2Shell.
La tecnica consente di superare progressivamente diversi controlli di sicurezza, fino a raggiungere l’esecuzione del codice sul sistema compromesso. Il problema riguarda soprattutto gli utenti che non hanno installato gli aggiornamenti correttivi e mantengono il proprio server esposto agli attacchi.
Gli attacchi sono già stati osservati in rete
La portata del problema è emersa grazie a un secondo ricercatore, che ha predisposto un honeypot, ovvero un sistema-esca progettato per attirare e registrare le attività degli aggressori. Dopo averlo configurato per simulare un server Plex vulnerabile, ha iniziato a rilevare tentativi di scansione nel giro di un giorno. Successivamente, sono stati osservati anche attacchi riusciti, con l’infezione dei dispositivi.
Le campagne individuate installano attualmente due tipologie di software malevolo. La prima è costituita da un cryptominer, un programma che sfrutta la potenza di calcolo del dispositivo infetto per generare criptovalute, indirizzando i proventi verso un portafoglio controllato dall’attaccante.
Il secondo payload è un software proxy residenziale. Questo permette a terzi di instradare il proprio traffico Internet attraverso il dispositivo compromesso, sfruttandone l’indirizzo IP. Una simile infrastruttura può essere impiegata per rendere meno identificabile l’origine delle connessioni, anche in attività illecite.
Come funziona la catena di exploit Plex2Shell
L’exploit pubblicato inizialmente era una dimostrazione tecnica allegata alla segnalazione delle vulnerabilità inviata a Plex. La procedura combina più passaggi, tra cui una richiesta lato server non autenticata, il passaggio attraverso un’interfaccia locale, il furto di un token di sicurezza, la consegna del payload e, infine, la sua esecuzione.
Il ricercatore che ha sviluppato la tecnica ha spiegato di aver utilizzato ampiamente strumenti di intelligenza artificiale durante il lavoro. Ha tuttavia precisato che il risultato non è stato ottenuto con un semplice comando automatico: sono servite ore di analisi iterativa, verifiche, tentativi falliti e scelte sulle vulnerabilità da approfondire.
Perché i proxy residenziali rappresentano un rischio
Oltre al consumo indesiderato delle risorse informatiche, la compromissione può trasformare un server domestico in un punto di uscita per il traffico di altri soggetti. Come osservato dal ricercatore che ha monitorato gli attacchi, gli indirizzi IP residenziali possono risultare particolarmente appetibili per chi intende raggiungere servizi aziendali, comprese VPN e caselle di posta elettronica.
Il dispositivo infetto, quindi, non viene utilizzato soltanto per sottrarre capacità di calcolo: può diventare parte di un’infrastruttura impiegata per attività condotte da terzi. Questo rende importante proteggere anche i server multimediali domestici, spesso considerati meno esposti rispetto ai sistemi aziendali.
Come proteggere subito il proprio server Plex
La prima misura indicata da Ars Technica è aggiornare Plex Media Server alla versione 1.43.3. Il software può essere configurato per installare automaticamente gli aggiornamenti oppure può essere aggiornato manualmente scaricando la versione più recente. Considerati gli attacchi già rilevati, chi utilizza una versione obsoleta dovrebbe intervenire senza ritardi.
Un’ulteriore precauzione consiste nel limitare l’accesso al server alla rete locale, evitando di esporlo direttamente a Internet. Questa soluzione riduce la superficie di attacco, ma comporta la rinuncia ad alcune funzionalità accessibili dall’esterno. Per chi necessita di una connessione pubblica, l’articolo suggerisce di valutare un reverse proxy, anziché affidarsi alla porta predefinita 32400, e di utilizzare esclusivamente applicazioni Plex sicure. Anche la scelta di password robuste resta una componente essenziale della protezione.
Fonte: Ars Technica.
