Los servidores de Plex Media Server sin actualizar están siendo atacados desde el 17 de octubre de 2026 con una cadena de cuatro fallas bautizada Plex2Shell. El investigador Zach Main publicó el código de prueba el 16 de octubre; al día siguiente, el señuelo (honeypot) de BoredHackerBlog ya registraba ataques reales, según Cybersecurity News y Daily Security Review (19 de octubre).
Plex parece entretenimiento, pero en muchas PyMEs vive en el NAS de la oficina o en la computadora de casa de quien administra los sistemas.
Qué está pasando
| Dato | Detalle |
|---|---|
| Producto | Plex Media Server (Linux y Windows; ataques vistos en Linux con Docker) |
| Fallas | CVE-2026-96652, CVE-2026-96654, CVE-2026-96655 y CVE-2026-96656 |
| Versiones afectadas | Anteriores a 1.43.3.10861 |
| Corrección | 1.43.3.10861 o posterior |
| Requiere iniciar sesión | No |
| Código de ataque público | Desde el 16 de octubre |
| Primeros ataques registrados | 17 de octubre |
| En el catálogo KEV de CISA | No, al 19 de octubre |
Por separado, ninguna falla pasa de 7.2 en CVSS, según Daily Security Review. El problema es encadenarlas: obligan al servidor a hacer peticiones internas, roban el token de administrador del dueño, escriben un archivo y cargan un "códec" falso que ejecuta comandos con los permisos de Plex.
Main reportó las fallas en julio. Plex publicó a principios de septiembre la 1.43.3 del servidor, con un aviso para la 1.43.2 y anteriores, y advirtió que en algunos NAS había que instalarla a mano. Según BetaNews, el 19 de octubre Plex actualizó su aviso para confirmar la explotación.
Por qué le importa a una empresa
Hoy instalan un minero y un proxy: XMRig, que mina Monero con tu procesador, y myawesomeproxy, que revende tu conexión a terceros. Si alguien comete un fraude por ese proxy, la dirección registrada es la de tu oficina. Mañana puede ser ransomware.
El NAS de la oficina. Muchos NAS ofrecen Plex como aplicación de un clic y alguien lo instaló "para los videos de capacitación". Ese equipo guarda respaldos y carpetas compartidas: un servicio olvidado con acceso al disco es la puerta que nadie vigila.
La computadora de casa de quien administra. Es el caso de LastPass en 2022. Según LastPass, el atacante entró a la computadora personal de un ingeniero de DevOps por un software multimedia vulnerable, le instaló un registrador de teclas, capturó su contraseña maestra y llegó a la bóveda corporativa y a los respaldos en la nube. LastPass no nombró el programa; varios medios lo identificaron como Plex, con una falla corregida años antes. Si tu administrador o tu proveedor de TI entra a tus servidores desde la máquina donde corre un Plex abierto a internet, tu seguridad depende de ese Plex.
Qué hacer
- Pregunta quién tiene Plex. Revisa las aplicaciones de los NAS y servidores, y pregunta a quien administra tus sistemas si lo tiene en el equipo desde el que se conecta. Si el negocio no lo usa, desinstálalo.
- Actualiza a 1.43.3.10861 o posterior y confirma la versión que de verdad corre. En NAS y Docker la actualización automática a menudo no ocurre: hay que bajar el paquete o la imagen nueva.
- No lo dejes expuesto. Desactiva el acceso remoto de Plex y quita el reenvío de puertos del router. Para entrar desde fuera, usa una VPN (WireGuard paso a paso) o evalúa ZTNA.
- Busca señales de intrusión si estuvo expuesto y sin actualizar después del 16 de octubre:
- Procesos hijos de Plex desconocidos, CPU alta constante, o programas llamados docker, x o myawesomeproxy.
- Archivos inesperados en la carpeta Codecs y tareas programadas (cron, systemd) que nadie creó.
- Tráfico con 45.194.92.222, 91.92.40.202, 176.65.139.228, 217.60.194.116 o proxystream.st, o peticiones a /player/timeline/subscribe con agente Python-urllib/3.10. Los atacantes cambian estos datos; no dependas solo de la lista.
- Si hay rastros, trátalo como comprometido: desconéctalo, rescata solo datos, reinstala y restaura de un respaldo previo (política de respaldos).
- Cambia credenciales. Cierra sesión en todos los dispositivos de la cuenta Plex y cambia su contraseña; si desde esa computadora se entraba a sistemas de la empresa, rota también esas claves (qué hacer con contraseñas filtradas).
- Separa lo personal de lo administrativo. Las cuentas con privilegios se usan desde equipos de trabajo, con gestor de contraseñas y doble factor, no desde la PC familiar.
El patrón se repite
Como con GlobalProtect y el ransomware Qilin, son fallas con parche atacadas en cuanto sale el código: aquí pasó un día. La diferencia es que muchas veces nadie en la empresa sabe que Plex existe; el primer paso es el inventario.
En ciberseguridad e infraestructura revisamos qué está expuesto en tu red y dejamos el acceso remoto detrás de una VPN.
Fuentes: Cybersecurity News y Daily Security Review (19 de octubre de 2026), SentinelOne, foro de Plex (aviso de septiembre de 2026), BetaNews e informe de LastPass sobre 2022. Al 20 de octubre no había cifra confiable de servidores comprometidos.
NAS y servicios expuestos
¿Hay algo olvidado abierto a internet en tu red?
Inventariamos NAS, servidores y puertos abiertos, actualizamos lo pendiente y cerramos el acceso remoto que no necesitas.
