استغلال Plex2Shell ينشر برمجيات تعدين وأبواباً خلفية بخوادم Plex
بعد يوم واحد من نشر PoC، تستغل ثغرات Plex2Shell في Plex Media Server لنشر برمجيات تعدين للعملات المشفرة وأبواب خلفية لوكيل Linux، مهددة أمن بيانات المستخدمين.
مقدمة تحليلية
في 19 أكتوبر 2026، بدأ مهاجمون باستغلال سلسلة ثغرات Plex2Shell في خوادم Plex Media Server، وذلك بعد يوم واحد فقط من نشر إثبات المفهوم (PoC) علناً في 16 أكتوبر 2026. هذه السلسلة من أربع ثغرات حاسمة تُمكن من الوصول غير المصادق عليه لتنفيذ التعليمات البرمجية عن بُعد (RCE)، مما يسمح للمهاجمين بنشر برمجيات تعدين العملات المشفرة وأبواب خلفية لوكيل Linux. تُشير التقارير، التي قدمها باحث باسم "boredhackerblog"، إلى أن الاستغلال يستهدف بشكل مباشر الخوادم التي لم يتم تحديثها، مستغلاً الفارق الزمني بين الكشف عن الثغرات وإصدار التصحيحات في 3 أغسطس 2026. يُظهر هذا الانتشار السريع نمطاً متوقعاً من الاستفادة الفورية من الثغرات المتاحة علناً، مع تركيز الهجمات على تحقيق مكاسب مالية عبر تعدين العملات المشفرة وتوجيه حركة مرور الشبكة.
التحليل التقني
تعتمد حملة الاستغلال الحالية على سلسلة من أربع ثغرات حرجة، تُعرف مجتمعة باسم Plex2Shell، لتحقيق تنفيذ التعليمات البرمجية عن بُعد (RCE) على خوادم Plex Media Server الضعيفة. تم الكشف عن هذه الثغرات لشركة Plex في 27 يوليو 2026 بواسطة الباحث الأمني Zach Main، وتم تصحيحها في إصدار Plex Media Server 1.43.3.10861 الذي صدر في 3 أغسطس 2026.
تتضمن السلسلة الثغرات التالية:
- CVE-2026-96652 (درجة CVSS: 5.3): ثغرة Server-Side Request Forgery (SSRF) غير مصادق عليها عبر نقطة النهاية "/player/timeline"، حيث يُدرج مُعامل "protocol" في عنوان URL للاعب دون التحقق من صحته، مما يسمح للمهاجم بإجبار خادم Plex على إرسال طلب POST إلى وجهة يختارها.
- CVE-2026-96654 (درجة CVSS: 6.9): عدم تحييد صحيح لقيم URL في نقطة النهاية "searchOne"، مما يمكن المهاجم من استدعاء وظائف إضافات أخرى وتزويدها بمعاملاته الخاصة للحصول على رمز مسؤول المالك.
- CVE-2026-96655 (درجة CVSS: 5.3): ثغرة SSRF تسمح لمستخدم مصادق عليه (أي بامتلاك رمز المالك) بطلب عناوين داخلية أو خارجية عشوائية (مثل فيديو مضيف بواسطة المهاجم يحمل حمولة ELF خبيثة) عبر مُعامل المسار '/video/:/transcode/universal'.
- CVE-2026-96656 (درجة CVSS: 8.6): ثغرة تحكم خارجي في اسم الملف أو المسار، تسمح بكتابة كائن ELF مشترك إلى مسار يختاره المهاجم في دليل Codecs وتنفيذه.
تُستخدم هذه الثغرات بالتسلسل لتحقيق RCE غير مصادق عليه. تستخدم الهجمات نصاً برمجياً لـ shell لاسترداد ونشر حمولة مُعدّن باسم "x12345" (بصمة VirusTotal `b20f39fc00d242e706b6c30367ad811c676e0575050a4ec2f30104b696944b49`) مُستضافة على خادم بعيد بعنوان IP `217.60.194[.]116` باستخدام wget أو curl. بالإضافة إلى ذلك، تم نشر أداة "myawesomeproxy"، وهي باب خلفي خفي ووكيل عكسي لنظام Linux (بصمة VirusTotal `e546b10aee5edc754da4f9b0baace00392257121911f630145078eafad1e6bd9`). يُعرض تشغيل هذا البرنامج رسالة تفيد: "Running this software on any of your devices makes you agree to the potential external use of your internet traffic." يُنشر أيضاً معالج تعدين XMRig يُعرف باسم "mylovelyminer"، حيث يُشير خادم التعدين الخاص به إلى `ota.proxystream[.]st`.
يُذكر أن نطاقاً فرعياً آخر مرتبطاً بهذا النطاق، `global.relay.proxystream[.]st`، قد تم الإبلاغ عنه من قبل Bitsight في أغسطس 2026 لارتباطه بشبكة الروبوتات AISURU (Kimwolf V7) لشن هجمات DDoS والوكالة. تم رصد محاولات الاستغلال من عناوين IP التالية: `91.92.40[.]202`، و`176.65.139[.]228`، و`45.194.92[.]222`.
السياق وتأثير السوق
تُلقي هذه الهجمات الضوء على المخاطر الكامنة في التأخر عن تطبيق التحديثات الأمنية. على الرغم من أن Plex كشفت عن الثغرات لـ Zach Main في 27 يوليو 2026 وأصدرت التصحيح في Plex Media Server 1.43.3.10861 بتاريخ 3 أغسطس 2026، فإن الاستغلال بدأ بعد أكثر من شهرين ونصف في 19 أكتوبر 2026، أي بعد يوم واحد من إعلان إثبات المفهوم علناً في 16 أكتوبر 2026. هذا النطاق الزمني الطويل بين التحديث والإعلان العلني يُعطي الجهات الخبيثة نافذة واسعة لتعطيل الخوادم التي لم تُحدّث. كما أن تحذير Plex في سبتمبر 2026 للمستخدمين بتحديث خوادمهم لمعالجة "ثغرات أمنية غير محددة" لم يمنع هذه الموجة من الهجمات، مما يُشير إلى نقص في الوعي أو الاستجابة من جانب المستخدمين.
تأثير السوق هنا واضح: بينما توفر Plex حلاً فعالاً للخوادم الإعلامية المنزلية، فإنها تضع مسؤولية كبيرة على المستخدمين في الحفاظ على أمن بيئاتهم. على النقيض من خدمات البث السحابية مثل Netflix أو Disney+، التي تُدير البنية التحتية الأمنية بالكامل، يجب على مستخدمي Plex تولي زمام المبادرة في تحديث برامجهم. كان المعيار بالأمس هو "الثقة بتصحيحات البائع"، أما اليوم فهو "التصحيح الفوري أو مواجهة الاستغلال المباشر". الخاسر الأكبر هم المستخدمون الذين يُؤجّلون التحديثات أو يُشغّلون إصدارات قديمة من Plex Media Server. تُشير رسالة "myawesomeproxy" التي تُطالب بموافقة على "الاستخدام الخارجي المحتمل لحركة مرور الإنترنت الخاصة بك" إلى تهديد مباشر لخصوصية وأمن بيانات المستخدمين، مما يُحوّل الخوادم المخترقة إلى نقاط دخول لشبكات الوكلاء الخبيثة. تؤكد تقارير مستخدمي Reddit عن تعرض خوادمهم للاختراق بواسطة "mylovelyminer" أن هذه المخاطر ليست نظرية، بل واقعية ومنتشرة بين مستخدمي Plex غير المحدثين.
رؤية Glitch4Techs
الوضع الحالي لا يُشير إلى فشل في استجابة Plex، بل يُسلّط الضوء على الإهمال السائد لدى المستخدمين. كانت الثغرات الحرجة ضمن سلسلة Plex2Shell قد تم تصحيحها في Plex Media Server 1.43.3.10861 بتاريخ 3 أغسطس 2026. هذا يعني أن المهاجمين استغلوا ثغرات معروفة ومصححة بالفعل، مما يُشير إلى أن المشكلة تكمن في التقاعس عن تطبيق التحديثات الضرورية من جانب المستخدمين، وليس في وجود ثغرات صفرية (zero-day exploits). إن الاستغلال السريع بعد يوم واحد من الكشف العلني عن PoC في 16 أكتوبر 2026 يؤكد أن أي تأخير في تحديث البرمجيات يُعد دعوة مباشرة للمهاجمين.
لا يمكن لشركة Plex فرض التحديثات على الخوادم المستضافة ذاتياً، وبالتالي فإن المسؤولية تقع بالكامل على عاتق المستخدم. هذا ليس فشلاً تقنياً من جانب المطور، بل هو فشل إداري على مستوى المستخدمين.
كن أول من يعرف بمستقبل التقنية
أهم الأخبار والتحليلات التقنية مباشرة في بريدك.
