Plex／官方：Plex2Shell 鏈漏洞正被廣泛利用——未認證遠端執行；須升至 1.43.3.10861，否則視為可能已淪陷

Key takeaway

Plex 官方於論壇公告確認：Plex Media Server 一系列已修補漏洞正被「積極且廣泛」利用；攻擊者可把四個 CVE 串成未認證遠端程式執行鏈（業界稱 Plex2Shell），權限等同 Plex 服務進程。官方列明受影響版本為早於 1.43.3.10861 的建置，並指十月十六日公開概念驗證後，面向互聯網的未更新伺服器已見大量攻擊，淪陷主機被用作加密貨幣挖礦與住宅代理軟體。來源真實性已驗證，以 Plex 論壇安全更新與研究員公開技術說明為準，並以 Ars Technica 報道交叉核對在野利用與修補指引。

Plex／官方：Plex2Shell 鏈漏洞正被廣泛利用——未認證遠端執行；須升至 1.43.3.10861，否則視為可能已淪陷

Plex 官方於論壇公告確認：Plex Media Server 一系列已修補漏洞正被「積極且廣泛」利用；攻擊者可把四個 CVE 串成未認證遠端程式執行鏈（業界稱 Plex2Shell），權限等同 Plex 服務進程。官方列明受影響版本為早於 1.43.3.10861 的建置，並指十月十六日公開概念驗證後，面向互聯網的未更新伺服器已見大量攻擊，淪陷主機被用作加密貨幣挖礦與住宅代理軟體。來源真實性已驗證，以 Plex 論壇安全更新與研究員公開技術說明為準，並以 Ars Technica 報道交叉核對在野利用與修補指引。

對企業與自架媒體庫營運者而言，重點不是「家用軟體可否忽略」，而是任何對外開放埠 32400、掛載內部檔案分享或與同一主機共用憑證的服務，一旦被接管，風險會沿掛載路徑擴散；香港與亞洲同樣有大量 NAS、Docker 與雲端虛擬機在跑 Plex，應立刻核對建置號而非只看「1.43.3」主版本字樣。

Plex／官方：Plex2Shell 鏈漏洞正被廣泛利用——未認證遠端執行；須升至 1.43.3.10861，否則視為可能已淪陷

Plex 以 @PlexInfo 帳號於官方論壇帖「Important Security Update for Plex Media Server v1.43.2 and earlier」發布更新（帖文標示時間約二〇二六年十月十九日），補上早前修補所對應的 CVE 編號，並明確寫出「These vulnerabilities are being actively and widely exploited」。原帖初刊於九月一日，當時已要求升級至 1.43.3 並稱 CVE 待公布；此次更新把漏洞細節、修復建置門檻與在野利用現況一次說清。本文已核對官方 CVE 摘要、修復版本條件與緩解步驟，來源真實性已驗證。

一、核心事件：四 CVE 串成未認證遠端執行

技術細節

官方列出於 1.43.3 修復、並可被鏈接的四項問題：

  1. CVE-2026-96652：播放器時間軸端點存在未認證伺服器端請求偽造（SSRF）；
  2. CVE-2026-96654：可經回送介面（loopback）存取內部 agent 功能；
  3. CVE-2026-96655：洩露伺服器擁有者管理員權杖（admin token）；
  4. CVE-2026-96656：可經轉碼偏好設定，對 Codecs 目錄任意寫入檔案。

官方說明：上述問題「串在一起」後，未認證的遠端攻擊者即可在 Plex Media Server 進程權限下執行程式碼。Plex Media Server 1.43.3.10861 及之後建置不受影響；並警告若伺服器舊於該建置且可自互聯網連入，「assume it may be compromised」（應假設可能已遭入侵）。

Plex 指公開概念驗證於十月十六日釋出後，未更新且面向互聯網的伺服器遭大規模攻擊；已觀察到淪陷主機執行加密貨幣挖礦程式，以及把受害者連線轉租給第三方的代理軟體。官方建議檢查異常 Plex 子行程（例如名稱類似 myawesomeproxy、mylovelyminer、x12345）、Codecs 目錄中不明的 .so／.dll、對外連往 proxystream.st，以及「無播放卻持續高 CPU」等跡象；若無法排除淪陷，應以乾淨安裝重建，而非沿用舊資料目錄，並登出所有裝置、更改 Plex 密碼，同時把同一主機／虛擬機上掛載分享與存放憑證視為可能已暴露。

披露與公開鏈名稱

獨立研究員於 zmain.info 公開技術文「Plex2Shell」（二〇二六年十月十六日），說明如何把 SSRF、回送信任、權杖外洩與轉碼寫檔串成完整遠端程式執行鏈，並附披露時程：七月二十七日向 [email protected] 通報、八月四日獲確認並獲漏洞賞金、九月二十三日獲編 CVE、十月十六日公開。研究員亦寫明大量使用大型語言模型協助偵察、驗證與組鏈，但強調優先順序與判斷仍由人工決定，並非一句「去駭 Plex」即可自動完成。Ars Technica 同日報道指蜜罐在公開細節後一日內即見掃描與成功感染，觀測到的負載包括挖礦與住宅代理軟體。

二、技術原理深度解析：為何「存在 Token」仍不夠、回送信任成關鍵

從公開技術說明可見，這條鏈的核心不是單一「緩衝區溢位」，而是信任邊界被逐步拆開：

  1. Companion／播放器路徑上的弱檢查：部分介面只檢查請求是否「帶有」X-Plex-Token 標頭，而不驗證權杖是否有效；攻擊者可用任意字串通過門檻，再誘使伺服器對自訂 URL 發出回呼，形成對自身 127.0.0.1 的 SSRF。
  2. 回送等同高信任：面向 loopback 的 agent／外掛管理 API 可在無有效權杖下開放；一旦 SSRF 讓請求「看起來來自本機」，攻擊面立刻擴大。
  3. 內送請求自動掛上擁有者權杖：外掛框架對以 http://127.0.0.1 開頭的出站 URL 會附加擁有者管理員權杖；若以 DNS 技巧讓主機名仍以該字串為前綴、卻解析到攻擊者位址，即可把權杖偷走。
  4. 轉碼偏好寫入 Codecs 目錄：取得擁有者權限後，可改寫會原樣拼進 x264 選項的偏好（例如 dump-yuv），把惡意共享庫寫入 Codecs 路徑；後續轉碼載入 .so 時執行建構函式，完成程式執行。

換言之，對外開放的「媒體串流埠」與「本機高信任 API」之間，只要中間缺少嚴格來源驗證與路徑消毒，家用便利設定就會變成資料中心等級的初始入侵向量。官方亦提醒：若不需要遠端存取，應關閉 Remote Access，並避免直接轉發預設埠 32400。

三、日常應用場景

1. 開發者與技術團隊

應把「建置號」寫進資產清點：許多容器映像釘死舊標籤（例如舊版 linuxserver/plex），主版本顯示 1.43.3 仍可能低於 1.43.3.10861。CI／基礎架構即程式碼中的映像標籤、NAS 套件來源與自動更新開關都要核對；對外暴露的反向代理是否仍把 32400 直通互聯網，亦應一併檢視。

2. 企業與隱私敏感行業

若員工自架 Plex 與公司 VPN、檔案伺服器或筆記型電腦同一網段，住宅代理負載可變成繞過地理或 IP 信譽的跳板；挖礦則消耗共用雲端預算。資安政策宜明確禁止未納管的媒體伺服器對公網開放，並把「個人 NAS 掛載公司分享」列為高風險組態。

3. 一般用戶

家用使用者應立刻在 Plex Web「設定 → 一般」確認版本 ≥ 1.43.3.10861，啟用自動更新或手動安裝最新套件；不需要外網串流就關閉遠端存取。若出現異常高 CPU、不明行程或 Codecs 目錄多出陌生函式庫，應視為可能已淪陷並重建，而非只「再按一次更新」。

4. 香港與亞洲市場視角

香港住宅光纖與 NAS（群暉、威聯通等）普及，Plex／Jellyfin 類自架串流常見；部分使用者為外遊觀看而埠轉發，正好落在官方所說「internet-facing」高風險區。中小企若以同一部雲端虛擬機兼任「示範環境＋媒體庫」，一旦 Plex 被接管，同機 API 金鑰、.env 與掛載磁碟都可能受影響。亞洲團隊亦應注意：研究員公開文強調大型語言模型可加速漏洞組鏈——防禦端同樣需要更快的修補節奏與對外暴露面盤點，而非假設「家用軟體攻擊者不會認真打」。

四、專業評價與潛在考量

優勢

  • 官方在公開利用升溫後，清楚公布 CVE、修復建置門檻與淪陷假設準則，營運者可直接對照版本號行動。
  • 修復路徑涵蓋 Windows／macOS／Linux／Docker／各家 NAS 與 Shield，並提醒套件庫可能滯後、需手動安裝。
  • 把挖礦與住宅代理並列為已觀察負載，有助資安監控設定具體偵測條件（異常子行程、Codecs 異檔、特定出站域名、無播放高 CPU）。

需要留意的地方

  • 「已更新」若只到仍脆弱的中間建置（報道指部分 1.43.3.x 仍不足），會造成虚假安全感；必須對到 1.43.3.10861 或更新。
  • 僅升級而不檢查淪陷跡象，可能讓已植入的代理／挖礦繼續運作；官方建議無法排除時應乾淨重建。
  • 關閉遠端存取可降曝險，但區域網上其他失陷裝置仍可能打到本機 Plex；縱深防禦（網段隔離、最小掛載、獨立憑證）仍不可少。

結語

Plex2Shell 把「未驗證權杖存在性、回送高信任、權杖前綴匹配、轉碼寫檔」串成可遠端接管的攻擊鏈；官方於十月十九日確認在野廣泛利用，並把升級門檻鎖在 1.43.3.10861。對香港企業與自架服務營運者，這是一次提醒：面向互聯網的便利埠、與內部檔案／憑證共用主機，兩者疊加就足以把「媒體玩具」變成初始入侵與代理跳板。

如需為香港業務盤點對外暴露面、加固雲端與零信任存取，並以可驗證的運行基線降低類似邊緣服務風險，可參考 YSK Limited 的雲端遷移與網絡安全（官網刊 99.99% SLA）：https://ysk.hk/services/cloud-security

參考來源

  1. Plex 官方論壇（@PlexInfo）：Important Security Update for Plex Media Server v1.43.2 and earlier（初刊 2026-09-01；CVE 與在野利用更新 2026-10-19）— https://forums.plex.tv/t/important-security-update-for-plex-media-server-v1-43-2-and-earlier/942319
  2. zmain：Plex2Shell — Unauthenticated RCE in Plex Media Server（公開說明與披露時程，2026-10-16）— https://zmain.info/blog/plex2shell
  3. Ars Technica：PSA: Patch your Plex media server before someone hacks it（Dan Goodin，2026-10-19）— https://arstechnica.com/security/2026/10/recently-fixed-plex-media-vulnerabilities-are-being-exploited-to-install-malware/

Related services & products

Related posts