Hàng loạt máy chủ Plex bị tấn công chỉ một ngày sau khi lỗ hổng được công bố

Chuỗi lỗ hổng Plex2Shell gồm bốn lỗi trong Plex Media Server đã bị tội phạm mạng khai thác chỉ một ngày sau khi thông tin kỹ thuật cùng mã khai thác mẫu (PoC) được công bố. Kẻ tấn công đã lợi dụng các lỗ hổng này để cài phần mềm đào tiền mã hóa và phần mềm proxy trên máy chủ nạn nhân.

Máy chủ truyền thông trực tuyến bị tấn công

Diễn biến vụ việc

Nhà nghiên cứu phát hiện ra các lỗ hổng Plex2Shell đã công bố bài phân tích và mã PoC vào ngày 16/10. Bốn lỗ hổng được gán mã CVE-2026-96652, CVE-2026-96654, CVE-2026-96655 và CVE-2026-96656. Khi kết hợp lại, chúng cho phép chạy mã tùy ý trên một máy chủ bị lộ ra internet mà không cần thông tin đăng nhập hợp lệ, với đặc quyền ngang bằng dịch vụ Plex đang chạy.

Theo trình tự, các lỗi này được báo cáo cho Plex vào ngày 27/7, hãng xác nhận và trao thưởng bug bounty vào ngày 4/8. Đến ngày 1/9, Plex thông báo đã phát hành bản vá và kêu gọi chủ máy chủ nâng cấp ngay.

Bẫy honeypot phát hiện cuộc tấn công

Một nhà nghiên cứu khác đã dựng một máy chủ Plex mồi (honeypot) chạy phiên bản dễ bị tổn thương, hướng ra internet, nhằm theo dõi các hoạt động đáng ngờ. Trước ngày 17/10, honeypot này chủ yếu ghi nhận các đợt quét trinh sát và những nỗ lực tấn công chung chung.

"Tính đến sáng nay (17/10), cuối cùng tôi đã thấy hoạt động khai thác ngoài thực tế", nhà nghiên cứu viết.

Kẻ tấn công sử dụng chính mã khai thác đã công khai, dù có thể đã chỉnh sửa đôi chút.

Đào tiền mã hóa và proxy ẩn danh

Sau khi xâm nhập thành công, kẻ tấn công đã cài đặt một trình đào tiền mã hóa dựa trên XMRig. Đến cuối ngày hôm đó, một chương trình thứ hai có tên myawesomeproxy cũng xuất hiện trên honeypot. Nhà nghiên cứu xác định đây là phần mềm proxy, kèm theo thông báo rằng bất kỳ ai chạy nó đều đồng ý cho phép sử dụng lưu lượng internet của mình.

Nhà nghiên cứu bảo mật phân tích sự cố

Điểm đáng chú ý là Plex thường được cài trên các IP dân dụng (residential IP). Theo nhà nghiên cứu, tội phạm mạng rất "thèm khát" các proxy IP dân dụng để vượt qua kiểm soát và truy cập VPN nội bộ, email doanh nghiệp.

Khuyến nghị cho người dùng

Nhà nghiên cứu lưu ý rằng các chỉ dấu xâm nhập (IoC) được công bố chỉ phản ánh hoạt động quan sát được trên honeypot, không đại diện cho toàn bộ phạm vi tấn công.

Trong khuyến cáo từ tháng 9, Plex đã đề nghị tất cả chủ máy chủ cài đặt bản phát hành mới nhất mà không trì hoãn. Với người dùng tại Việt Nam - nơi nhiều gia đình và nhóm bạn dựng Plex trên NAS hoặc máy tính cũ để xem phim, nghe nhạc - việc kiểm tra và cập nhật lên phiên bản mới nhất cần được ưu tiên, đặc biệt nếu máy chủ được mở cổng ra internet.

Các bước cần làm ngay:

• Cập nhật Plex Media Server lên phiên bản mới nhất
• Hạn chế mở cổng Plex ra internet nếu không thực sự cần thiết
• Kiểm tra mức sử dụng CPU/GPU bất thường - dấu hiệu của trình đào coin
• Rà soát các tiến trình lạ như phần mềm proxy không rõ nguồn gốc
• Đặt máy chủ sau VPN hoặc tường lửa khi truy cập từ xa

Vụ việc là lời nhắc nhở quen thuộc: khoảng thời gian từ lúc công bố lỗ hổng đến khi bị khai thác thực tế ngày càng rút ngắn, có khi chỉ tính bằng giờ. Với các phần mềm tự lưu trữ như Plex, việc cập nhật bản vá không nên chờ đợi.

SecurityWeek