Plex2Shell Ubah Server Plex Jadi Penambang Kripto

Server Plex yang terbuka ke internet dan belum diperbarui ke versi 1.43.3.10861 sedang diincar. Rantai celah bernama Plex2Shell memungkinkan penyerang tanpa kredensial menjalankan kode di server itu, dan sejak 17 Oktober 2026 celah ini dipakai untuk memasang penambang kripto serta perangkat lunak proxy.

Kenapa ini penting walaupun Plex identik dengan hiburan di rumah? Banyak orang menjalankan Plex di NAS, VPS, atau server kantor yang juga menyimpan data lain. Begitu kode penyerang berjalan dengan hak layanan Plex, semua yang bisa dijangkau layanan itu, termasuk share yang di-mount dan kredensial tersimpan, ikut berisiko.

Apa itu Plex2Shell?

Plex2Shell adalah nama yang diberikan peneliti Zach Main untuk rangkaian empat celah Plex Media Server. Masing-masing celah tidak terlalu parah bila berdiri sendiri. Peneliti menilai celah individualnya di level sedang sampai tinggi, tetapi menurut BleepingComputer ia memberi skor 9.8 untuk rantai lengkapnya. Skor per CVE berbeda antar sumber, jadi kami tidak mencantumkannya satu per satu.

Langkah terakhir paling menentukan. Security Affairs menjelaskan bahwa pemuat library Plex tidak memeriksa nama, izin eksekusi, tanda tangan digital, maupun simbol library. Shared object yang hanya berisi konstruktor tetap berjalan saat dimuat, dan kode itu berjalan sebagai user layanan Plex.

Bagaimana kronologinya?

Zach Main melaporkan celah ini ke Plex pada 27 Juli 2026. Perbaikannya sudah tersedia di Plex Media Server 1.43.3.10861, dan Plex menerbitkan pengumuman pembaruan keamanan di forumnya pada 1 September 2026. Sumber berbeda soal tanggal rilis build perbaikan: BleepingComputer menyebut 4 Agustus, sedangkan Security Affairs menulis perbaikan rilis pada September. Yang pasti, tambalan sudah ada jauh sebelum detail celah dibuka.

Pada 16 Oktober 2026, peneliti memublikasikan detail teknis beserta proof of concept. Sehari kemudian, 17 Oktober, seorang peneliti yang memantau honeypot Plex rentan melihat serangan pertama memakai eksploit publik itu. CISA memasukkan keempat CVE ke katalog KEV pada 20 Oktober 2026.

Pola ini makin sering terjadi: jarak antara publikasi detail celah dan serangan pertama kini hitungan jam sampai hari. Latar belakangnya dibahas di artikel tentang zero-day dan kenapa patch harus cepat.

Apa yang dipasang penyerang?

Menurut Security Affairs, muatan awal adalah penambang kripto berbasis XMRig. Muatan kedua bernama myawesomeproxy mengubah server menjadi simpul proxy. Plex sendiri menyebut server yang disusupi dipakai untuk menambang mata uang kripto dan menjalankan perangkat lunak proxy, dan Plex menilai serangan terhadap server yang menghadap internet sudah meluas. Berapa jumlah server yang benar-benar disusupi belum bisa dipastikan dari data honeypot.

Penambang kripto mungkin terdengar "hanya" menghabiskan listrik. Masalahnya, penyerang yang sudah bisa memasang penambang juga bisa memasang apa saja. Server proxy pun berbahaya, karena alamat IP-mu bisa terseret dalam aktivitas orang lain.

Cara mengecek dan menutup celah

Langkah berikut berasal dari pengumuman resmi Plex.

1. Perbarui ke Plex Media Server 1.43.3.10861 atau lebih baru. Versi terpasang terlihat di Plex Web, menu Settings lalu General. Paket NAS di package manager kadang tertinggal, jadi mungkin perlu memasang manual.
2. Cari tanda penyusupan: proses asing yang dijalankan Plex Media Server (Plex mencontohkan nama seperti myawesomeproxy atau mylovelyminer), berkas .so atau .dll tak dikenal di folder Codecs, koneksi keluar ke proxystream.st, dan CPU tinggi saat tidak ada yang diputar.
3. Bila ada tanda penyusupan atau tidak bisa dipastikan bersih, pasang ulang dari instalasi bersih, jangan memakai ulang direktori data lama. Minimal kosongkan folder Codecs dan periksa Preferences.xml untuk opsi transcoder yang tidak pernah kamu atur. Keluarkan semua perangkat dari akun Plex dan ganti password.
4. Kurangi paparan. Bila tidak butuh akses jarak jauh, matikan di Settings lalu Remote Access, dan hindari meneruskan port 32400 langsung ke internet.

Di server Linux, ada beberapa perintah yang bisa membantu pemeriksaan langkah kedua. Ini saran kami sendiri, bukan dari Plex. ps -u plex -o pid,pcpu,cmd menampilkan proses milik user plex beserta pemakaian CPU-nya (sesuaikan nama user bila instalasimu berbeda). ls -la pada folder Codecs, yang di paket Linux standar berada di bawah /var/lib/plexmediaserver/Library/Application Support/Plex Media Server/, membantu melihat berkas yang tanggalnya mencurigakan. ss -tnp menunjukkan koneksi keluar yang sedang aktif.

Apakah server rumahan perlu sepanik server kantor?

Tidak perlu panik, tetapi juga jangan meremehkan. Server rumahan sering luput dari jadwal patch karena dianggap bukan sistem penting. Padahal router yang meneruskan port 32400 membuat server itu sama terlihatnya dengan server kantor di mata pemindai internet. Bila Plex berjalan di VPS atau NAS yang juga menyimpan dokumen kerja, perlakukan dia sebagai server produksi.

Menurut kami (bukan saran resmi Plex), jalankan Plex dengan user khusus yang hanya bisa membaca folder media, bukan folder dokumen atau backup. Untuk server Linux yang memang harus terbuka, firewall yang hanya membuka port seperlunya membantu. Langkah dasarnya ada di panduan UFW untuk pemula, dan cara menimbang urutan tambalan untuk celah yang masuk KEV ada di panduan katalog KEV CISA.