
2026/10/19 22:36
野生環境で悪用されている Plex の脆弱性を介した暗号マイナーの注入
RSS: https://news.ycombinator.com/rss
要約▶
日本語訳:
サマリー: Plex は、2026 年 9 月 1 日に、バージョン 1.43.2 以前のパブリックメディアサーバーに対する重大な更新に関するセキュリティを発表しました。10 月 16 日の詳細な更新では、リモートコード実行を可能にするチェーン化された脆弱性が指摘されており、ブログ記事 https://zmain.info/blog/plex2shell と GitHub リポジトリ https://github.com/code-zm/plex2shell で詳細が説明されています。4 つの CVE(CVE-2026-96652、CVE-2026-96654、CVE-2026-96655、および CVE-2026-96656)が発表されました。
10 月 17 日に、IP アドレス 45.194.92.222 を元にした野生的な利用(in-the-wild exploitation)の試みが初めて観測され、さらに IP アドレス 91.92.40.202 および 176.65.139.228 からのもう 2 つの試みが記録されました。これらの攻撃は通常、暗号通貨マイニングのハイジャックにつながり、証拠としては cryptominer ペイロードを含む Dockerfile を含んだファイルダウンロード(ハッシュ:5712ef510481f15fe8b18fdd10b73026d57cb3d9d151878a692358b99a464441)および攻撃の一部として実行された「myawesomeproxy」バイナリ(ハッシュ:2d3c618b21a7e2f8bcd735da188e44a7609ff3f204832dd0781cd09e4388c9db)が含まれます。悪意のあるインフラストラクチャは proxystream.st と関連付けられています。公開議論と検知情報は Reddit(https://www.reddit.com/r/PleX/comments/1x95krg/inthewild_exploitation_of_old_plex_servers/)および GitHub を通じて共有されています。ユーザーは、システムへの侵害や違法な暗号通貨の生成を防ぐために、直ちに Plex メディアサーバーのインストールを更新するのを最優先する必要があります。
本文
Plex メディアサーバー(Plex2Shell)脆弱性レポートと実世界での悪用状況
本ドキュメントは、Plex Media Server の重大な脆弱性およびそれに関連する攻撃事例を整理したものです。AI は本調査に一切関与しておりません。
要約
影響を受けるソフトウェアは Plex Media Server です。この脆弱性は当初暗号通貨マイニング(クリプトマイナ)の脅威と認識されていましたが、宅内 IP アドレスでの頻繁なホスト化から重大なリスクを伴います。
- 攻撃手法: 被害を受けたマシーンをプロキシとして悪用し、企業向け VPN や E メールアカウントへのアクセスを試みます。
- 最新情報(10 月 17 日): Exploit Kit に「myawesomeproxy」という機能性の追加が確認されました。
背景
2026 年 9 月 1 日、Plex はバージョン 1.43.2 以前のアップデートに関するセキュリティアナウンスを発表しました。
- 調査状況: 脆弱なバージョンを動作させたハニーポット(検知用システム)を設置し、ライフサイクルを監視中。
- 重大発表: 著者(ZMain)が複数の脆弱性を連鎖させることで リモートコード実行(RCE) が可能であることを詳述しました。
- 発表時期: 10 月 16 日時点での情報。
脆弱性情報
今回の Exploit Kit は、2026 年に公表された以下の CVE を含むものです:
- CVE-2026-96652
- CVE-2026-96654
- CVE-2026-96655
- CVE-2026-96656
公式リソースと参考資料
| リソース名 | URL |
|---|---|
| Plex セキュリティアナウンス | https://forums.plex.tv/t/important-security-update-for-plex-media-server-v1-43-2-and-earlier/942319 |
| CVE 詳細情報 | https://www.cvedetails.com/vulnerability-list/vendor_id-14994/year-2026/Plex.html |
| オリジナルブログ投稿(ZMain) | https://zmain.info/blog/plex2shell(10 月中旬公開) |
| Exploit コードリポジトリ | https://github.com/code-zm/plex2shell |
| 検知用 PCAP ファイル | https://github.com/BoredHackerBlog/plex2shell_pcap |
実世界での悪用状況
ハニーポットでは初期にスキャンや汎用的な攻撃が観測されましたが、10 月 17 日(朝) に能動かつ具体的な Exploit が確認できました。
※注記: 脆弱性の性質上、初期段階では外部へのトラフィックが制限されていました。ペイロードを捕捉するためには後続の設定変更が必要であり、データが部分的になる場合があります。
観測された攻撃試行
1 回目の試行:
- 発信元 IP:
45.194.92.222 - User Agent: Python-urllib/3.10
- 標的 URI:
(マルウェア仕込みのドメインへのポインタを含むエンコード済みペイロードが含まれています)/player/timeline/subscribe?deviceClass=pc&...
その後の攻撃 IP アドレス: 以下のような IP アドレスで Exploit が実行されていることが観測されました:
91.92.40.202176.65.139.228
ペイロード配信の確認
外部へのトラフィックを許可した後の再観測において、ファイルダウンロードの発生源は以下の通りでした:
- ソース IP:
(Docker イメージおよび実行可能ファイルの元)217.60.194.116
侵害兆候(Indicators of Compromise, IOCs)
悪意のある IP アドレス
- 攻撃発生源:
91.92.40.202176.65.139.22845.194.92.222
- 悪意のあるファイルダウンロード元:
217.60.194.116
ファイルハッシュ(SHA256)
初期 Exploit Kit のコンポーネント:
| ファイルタイプ | ハッシュ値 | 説明 |
|---|---|---|
| Docker イメージ | | メインペイロードのコンテナ |
| 実行可能ファイル(UPX で圧縮) | | マイナー/ツール(圧縮済み) |
| 実行可能ファイル(UPX 展開後) | | マイナー/ツール(純粋な形式) |
追加されたコンポーネントの検出(10 月 17 日更新): 攻撃者が myawesomeproxy を展開していることが確認されました。
- myawesomeproxy:
e546b10aee5edc754da4f9b0baace00392257121911f630145078eafad1e6bd9 - xmrig(暗号通貨マイナー):
2d3c618b21a7e2f8bcd735da188e44a7609ff3f204832dd0781cd09e4388c9db
サンドボックス分析及びインテリジェンス
- myawesomeproxy 分析:
- Any.Run レポート: https://app.any.run/tasks/570b38df-d866-4ac8-93c2-ed2792c3478f
- TheHive/MISP(サージカル): https://tria.ge/261017-3ytcaady7p
- TheHive/MISP(サージカル 2): https://tria.ge/261018-ab8jgady9p
- ProxyStream.ST アクティビティ: Bitsight を介して関連するトラフィック分析が可能。
- 類似サンプルの発見:
コミュニティからの反応
初期には議論が限定的でしたが、Reddit を通じてコミュニティへの関与が再活性化されました。
- ディスカッションスレッド: https://www.reddit.com/r/PleX/comments/1x95krg/inthewild_exploitation_of_old_plex_servers/
公式検知ルール
脆弱性の発見者は、特定検知ルールおよび YARA サインチャーを公開しました: https://github.com/code-zm/plex2shell/tree/main/detection