Cuatro CVEs aburridos, un exploit público y tu Plex minando para otro

Cada cierto tiempo aparece una noticia que valida la paranoia de oficio. Esta vez fue confirmar que hay servidores Plex viejos siendo explotados en producción, ahora mismo: una cadena de cuatro vulnerabilidades que no le importaban a nadie terminó en ejecución remota de código, un miner de criptomonedas instalado adentro y la máquina convertida en proxy residencial para atacantes. Nadie eligió a esas víctimas por especiales. Las eligió un escáner automático de versiones viejas que no duerme.

De aviso vago a exploit público en seis semanas

La cronología es de manual y por eso vale mirarla completa. El 1 de septiembre de 2026, Plex mandó su correo de «actualización de seguridad importante» para Plex Media Server 1.43.2 y anteriores, con la costumbre de no detallar nada porque los atacantes leen lo mismo que tú. Recién el 26 de septiembre aparecieron los CVEs: CVE-2026-96652, 96654, 96655 y 96656. Ninguno espectacular por separado; ninguno con puntaje 9 o más en el CVSS. O sea, el boletín clásico que la mayoría pospone para «otro fin de semana».

El 16 de octubre, el investigador que los encontró publicó cómo los había encadenado (plex2shell): cuatro fallas mediocres combinadas terminan en RCE, con el código en GitHub incluido. Y el 17 de octubre, un día después, un investigador que tenía un honeypot corriendo una versión vulnerable ya estaba viendo explotación real desde al menos tres IPs distintas. Ese mes y medio entre el aviso y el desastre es exactamente la ventana que pierdes cuando «el servidor de las series funciona igual, mejor no tocarlo».

Lo peor no es minar tu CPU

El miner (xmrig dentro de un contenedor Docker) casi es lo de menos: te roba procesador y luz, el clásico de siempre. La joya es la segunda pieza, un binario con el nombre más candoroso posible, myawesomeproxy, que convierte tu Plex en nodo de un proxy residencial. Con un banner casi honesto: si corres este software, aceptas que usen el tráfico de tu internet «externamente». Una IP de casa con un servicio viejo abierto vale oro para cruzar bloqueos y colarse a correos de empresa, y el mismo investigador dejó sobre la mesa una pista hacia el ecosistema de Aisuru, señalada como una de las botnets residenciales más grandes que se conocen.

Lo que aplico en mi flota

Tres reglas me han ahorrado sustos administrando autoalojamiento. Primera: solo lo que de verdad necesita estar expuesto tiene puerto abierto. Todo lo demás va por VPN o túnel SSH, aunque dé pereza. Segunda: lo doméstico no se mezcla con lo productivo, ni siquiera en la misma subred. Que minen tu server multimedia duele; que esa misma máquina sea la puerta hacia donde administras infraestructura seria es una wea infinitamente más grave. Tercera: reviso cada semana si los servicios autoalojados tienen CVEs abiertos, porque un CVE «moderado» puede ser simplemente la mitad visible de una cadena que todavía no sale a la luz.

Si tienes un media server de los que instalaste hace años y quedó corriendo, esta es la versión 2026 del «nadie va a atacar mi casa»: te atacan por volumen, sin saber quién eres, y la electricidad la pagas tú. No necesitas paranoia extrema; necesitas puertos cerrados, software actualizado y que la red de la casa viva separada de la tuya. Lo demás es suerte, y en internet la suerte siempre juega contra ti.

Fuente del tema: Plex vulnerabilities being exploited in the wild to drop a cryptominer, de BoredHackerBlog.

Fuente de inspiración: Plex vulnerabilities being exploited in the wild to drop a cryptominer (BoredHackerBlog)