Plex2Shell actief misbruikt: patch je Plex-server nu

Het Amerikaanse CISA heeft vier kwetsbaarheden in Plex Media Server toegevoegd aan de Known Exploited Vulnerabilities-catalogus, de lijst van lekken waarvan actief misbruik is vastgesteld. Samen heten ze Plex2Shell. Afzonderlijk zijn ze middelzwaar tot hoog, maar aan elkaar geknoopt leveren ze een aanvaller het admintoken van de servereigenaar op, en daarmee code-uitvoering met verhoogde rechten.

De keten

CISA noemt bij elk van de vier lekken expliciet dat het met de andere drie te combineren is. Volgens de omschrijvingen in de catalogus:

• CVE-2026-96652 — SSRF in /player/timeline. Een aanvaller met een willekeurige X-Plex-Token-waarde kan een volledige URL in de parameter protocol zetten en de Plex-server dwingen een POST naar een zelfgekozen bestemming te doen.
• CVE-2026-96654 — onjuiste verwerking van gecodeerde URI-schema's, waarmee functies van andere plug-ins zijn aan te roepen met eigen parameters.
• CVE-2026-96655 — SSRF via de padparameter van /video/:/transcode/universal, waarmee een ingelogde gebruiker de server willekeurige interne of externe adressen laat opvragen.
• CVE-2026-96656 — een beheerder kan willekeurige bestanden wegschrijven die bij het laden worden uitgevoerd.

De onderzoeker die de bugs vond, Zach Main, geeft de volledige keten volgens BleepingComputer een kritieke score van 9,8. Main meldde ze op 27 juli bij Plex, publiceerde op 16 oktober de technische details en drie dagen later een proof-of-concept. Op 17 oktober kwamen de eerste meldingen van misbruik in het wild, waarbij aanvallers op Plex-honeypots een cryptominer neerzetten.

Welke versie veilig is

Plex2Shell raakt versies vóór 1.43.3.10861. Dat staat ook in de NVD-registratie van CVE-2026-96652. Die versie kwam volgens BleepingComputer op 4 augustus uit, dus ruim voordat de details openbaar werden. Wie zijn Plex-server bijgewerkt houdt, zit dus waarschijnlijk al goed.

Dat laatste is precies waar het bij een thuisserver misgaat. Een Plex-instantie op een Synology- of QNAP-NAS, in een Docker-container of op een Raspberry Pi wordt vaak eenmalig ingericht en daarna jaren niet aangeraakt. En omdat de hele reden om Plex te draaien meestal is dat je er ook buiten huis bij wil, staat zo'n server met Remote Access aan of via een portforward rechtstreeks aan het open internet. Dat is de combinatie die Plex2Shell gevaarlijk maakt: de SSRF-stap in de keten heeft geen geldige inloggegevens nodig.

De deadline die CISA aan Amerikaanse federale diensten stelt, geeft een idee van de urgentie. Voor CVE-2026-96654 en CVE-2026-96656 is dat 23 oktober, voor de twee SSRF-lekken 3 november. Die verplichting geldt niet voor Nederlandse organisaties of thuisgebruikers, maar de onderliggende reden wel: er wordt al misbruik gemaakt en er ligt een publieke proof-of-concept.

Wat je nu kunt doen

• Kijk in de instellingen van je Plex-server welke versie draait. Is die lager dan 1.43.3.10861, werk dan bij naar die versie of nieuwer.
• Gebruik je een NAS-pakket of een Docker-image, controleer dan het versienummer dat daadwerkelijk draait. Pakketbeheer van een NAS en een vastgepinde image-tag lopen niet automatisch mee met een Plex-release.
• Kun je niet meteen bijwerken, haal de server dan van internet: zet Remote Access uit en verwijder de portforward uit je router. Binnen je eigen netwerk blijft hij werken.
• Stond je server met een oude versie aan internet, kijk dan naar onverwachte processen en een hoge CPU-belasting. Het misbruik dat tot nu toe is gezien, plaatste een cryptominer.