GEFAHR! Plex2Shell macht deinen Mediaserver zum Krypto-Esel — DESHALB musst du jetzt patchen

Ausgerechnet der Mediaserver im Heimnetz wird gerade zum Rechenknecht für fremde Krypto-Wallets. Unter dem Namen Plex2Shell kursiert seit dieser Woche eine Kette aus vier Sicherheitslücken in Plex Media Server — und Angreifer nutzen sie bereits aktiv aus, um Krypto-Miner und Schadsoftware auf fremden Heimservern zu installieren.

VIER LÜCKEN, EINE KETTE

Hinter Plex2Shell stecken vier einzeln dokumentierte Schwachstellen: CVE-2026-96652 (CVSS 5,3, unauthentifizierter SSRF-Fehler über den Endpunkt /player/timeline), CVE-2026-96654 (CVSS 6,9, URL-Neutralisierungsfehler im searchOne-Endpunkt), CVE-2026-96655 (CVSS 5,3, SSRF für bereits authentifizierte Nutzer über den Transcode-Pfad) sowie CVE-2026-96656 (CVSS 8,6, externe Kontrolle über Dateiname und Pfad im Codecs-Verzeichnis). Einzeln betrachtet wirken die Werte überschaubar — verkettet ergeben sie eine unauthentifizierte Codeausführung auf dem Server, ganz ohne gültige Zugangsdaten.

Entdeckt und an Plex gemeldet hat die Kette Sicherheitsforscher Zach Main bereits am 27. Juli 2026. Plex reagierte vergleichsweise schnell: Der Patch Plex Media Server 1.43.3.10861 erschien bereits am 3. August 2026 — fast drei Monate vor den jetzigen Angriffen.

WAS DIE ANGREIFER WOLLEN

Sobald ein Server übernommen ist, installieren die Angreifer zwei Komponenten gleichzeitig: einen heimlichen Linux-Hintertür-Proxy namens „myawesomeproxy“, der den Datenverkehr fremder Nutzer über die gekaperte Heim- oder Firmenleitung umleitet, und einen XMRig-basierten Krypto-Miner mit dem Namen „mylovelyminer“, der im Hintergrund Monero für die Angreifer schürft. Der Mining-Traffic läuft über den Pool ota.proxystream[.]st, eine verwandte Domain (global.relay.proxystream[.]st) wird dem bekannten AISURU-Botnetz zugeordnet.

SEIT WANN ES BRENNT

Technische Details und ein funktionierender Exploit wurden am 16. Oktober 2026 veröffentlicht. Nur einen Tag später beobachteten Sicherheitsforscher die ersten aktiven Angriffe gegen eine öffentlich erreichbare Testumgebung (Honeypot). Seither dokumentieren Nutzer auf Reddit reihenweise kompromittierte Plex-Installationen — ein klassisches Muster: Je schneller ein Exploit öffentlich wird, desto kürzer das Zeitfenster bis zur Massenausnutzung.

SO ERKENNST DU EINEN BEFALL

• Ungewöhnlich hohe CPU-Last deines Plex-Servers ohne erkennbaren Grund (Transcoding, Bibliotheksscan).
• Unbekannte Prozesse mit Namen wie myawesomeproxy oder mylovelyminer in deiner Prozessliste.
• Ausgehende Verbindungen zu Domains, die auf proxystream.st enden — ein klares Warnsignal.

SO PATCHST DU RICHTIG — in 5 MINUTEN

1. Version prüfen: In den Plex-Server-Einstellungen unter „Allgemein“ nachsehen, ob eine Version vor 1.43.3.10861 läuft.
2. Sofort aktualisieren: Entweder über die automatische Update-Funktion oder manuell von plex.tv/media-server-downloads herunterladen.
3. Netzwerk prüfen: Plex Media Server gehört grundsätzlich nicht direkt ins offene Internet — besser über VPN oder Plex‘ eigene Relay-Funktion erreichbar machen.
4. Bei Verdacht auf Befall: Server isolieren, Prozesse prüfen und im Zweifel komplett neu aufsetzen — ein Krypto-Miner, der einmal drin ist, verschwindet nicht von selbst mit dem Update.

FAZIT: Patchen reicht nicht immer rückwirkend

Der Patch existiert seit August, trotzdem laufen erst jetzt die großen Angriffswellen — ein weiteres Beispiel dafür, dass veröffentlichte Exploit-Details Nachzügler regelrecht einladen. Wer seinen Mediaserver seit dem Sommer nicht aktualisiert hat, sollte das nicht nur jetzt nachholen, sondern auch kontrollieren, ob nicht längst ein ungebetener Mitbewohner mitrechnet.

Quellen

• The Hacker News — Hackers Exploit Plex2Shell Flaws to Install Crypto Miners and Linux Proxy Backdoor (19.10.2026)
• Security Affairs — Plex2Shell Exploit Used to Turn Vulnerable Plex Servers Into Crypto Miners
• SecurityWeek — Plex2Shell Exploit Chain Weaponized Against Plex Servers Hours After Disclosure