[{"data":1,"prerenderedAt":-1},["ShallowReactive",2],{"blog-/blog/noticias/plex2shell-plex-media-server-explotado-nas":3,"prev-/blog/noticias/plex2shell-plex-media-server-explotado-nas":407,"next-/blog/noticias/plex2shell-plex-media-server-explotado-nas":385,"related-/blog/noticias/plex2shell-plex-media-server-explotado-nas":410,"author-Diego Herrera":429},{"id":4,"title":5,"author":6,"authorUrl":7,"body":8,"category":362,"cta":363,"date":368,"dateModified":368,"description":369,"draft":370,"extension":371,"faq":372,"featured":370,"howto":385,"image":386,"imageAlt":387,"intent":388,"keywords":389,"meta":394,"navigation":395,"path":396,"publishedTime":397,"readingTime":398,"seo":399,"seoTitle":400,"stem":401,"tags":402,"__hash__":406},"blog/blog/noticias/plex2shell-plex-media-server-explotado-nas.md","Plex2Shell: atacan servidores Plex sin actualizar, y el riesgo llega a la oficina por el NAS o la casa","Diego Herrera","/autores/diego-herrera",{"type":9,"value":10,"toc":353},"minimark",[11,23,34,39,128,139,142,152,155,159,170,176,186,190,310,314,326,339,344],[12,13,14,18,19,22],"p",{},[15,16,17],"strong",{},"Los servidores de Plex Media Server sin actualizar están siendo atacados desde el 17 de octubre de 2026 con una cadena de cuatro fallas bautizada Plex2Shell."," El investigador Zach Main publicó el código de prueba el ",[15,20,21],{},"16 de octubre","; al día siguiente, el señuelo (honeypot) de BoredHackerBlog ya registraba ataques reales, según Cybersecurity News y Daily Security Review (19 de octubre).",[12,24,25,26,29,30,33],{},"Plex parece entretenimiento, pero en muchas PyMEs vive en el ",[15,27,28],{},"NAS de la oficina"," o en la ",[15,31,32],{},"computadora de casa de quien administra los sistemas",".",[35,36,38],"h2",{"id":37},"qué-está-pasando","Qué está pasando",[40,41,42,55],"table",{},[43,44,45],"thead",{},[46,47,48,52],"tr",{},[49,50,51],"th",{},"Dato",[49,53,54],{},"Detalle",[56,57,58,67,75,86,94,104,112,120],"tbody",{},[46,59,60,64],{},[61,62,63],"td",{},"Producto",[61,65,66],{},"Plex Media Server (Linux y Windows; ataques vistos en Linux con Docker)",[46,68,69,72],{},[61,70,71],{},"Fallas",[61,73,74],{},"CVE-2026-96652, CVE-2026-96654, CVE-2026-96655 y CVE-2026-96656",[46,76,77,80],{},[61,78,79],{},"Versiones afectadas",[61,81,82,83],{},"Anteriores a ",[15,84,85],{},"1.43.3.10861",[46,87,88,91],{},[61,89,90],{},"Corrección",[61,92,93],{},"1.43.3.10861 o posterior",[46,95,96,99],{},[61,97,98],{},"Requiere iniciar sesión",[61,100,101],{},[15,102,103],{},"No",[46,105,106,109],{},[61,107,108],{},"Código de ataque público",[61,110,111],{},"Desde el 16 de octubre",[46,113,114,117],{},[61,115,116],{},"Primeros ataques registrados",[61,118,119],{},"17 de octubre",[46,121,122,125],{},[61,123,124],{},"En el catálogo KEV de CISA",[61,126,127],{},"No, al 19 de octubre",[12,129,130,131,134,135,138],{},"Por separado, ninguna falla pasa de ",[15,132,133],{},"7.2"," en CVSS, según Daily Security Review. El problema es encadenarlas: obligan al servidor a hacer peticiones internas, roban el ",[15,136,137],{},"token de administrador"," del dueño, escriben un archivo y cargan un \"códec\" falso que ejecuta comandos con los permisos de Plex.",[12,140,141],{},"Main reportó las fallas en julio. Plex publicó a principios de septiembre la 1.43.3 del servidor, con un aviso para la 1.43.2 y anteriores, y advirtió que en algunos NAS había que instalarla a mano. Según BetaNews, el 19 de octubre Plex actualizó su aviso para confirmar la explotación.",[143,144,147],"callout",{"icon":145,"title":146},"i-lucide-info","Hay una diferencia en los números de versión",[12,148,149,150,33],{},"El repositorio de Plex2Shell marca como vulnerables las anteriores a 1.43.3.10828; SentinelOne y Daily Security Review usan 1.43.3.10861 como límite. Para no quedarte en medio, ten la ",[15,151,93],{},[153,154],"ad-banner",{},[35,156,158],{"id":157},"por-qué-le-importa-a-una-empresa","Por qué le importa a una empresa",[12,160,161,164,165,169],{},[15,162,163],{},"Hoy instalan un minero y un proxy:"," XMRig, que mina Monero con tu procesador, y ",[166,167,168],"em",{},"myawesomeproxy",", que revende tu conexión a terceros. Si alguien comete un fraude por ese proxy, la dirección registrada es la de tu oficina. Mañana puede ser ransomware.",[12,171,172,175],{},[15,173,174],{},"El NAS de la oficina."," Muchos NAS ofrecen Plex como aplicación de un clic y alguien lo instaló \"para los videos de capacitación\". Ese equipo guarda respaldos y carpetas compartidas: un servicio olvidado con acceso al disco es la puerta que nadie vigila.",[12,177,178,181,182,185],{},[15,179,180],{},"La computadora de casa de quien administra."," Es el caso de ",[15,183,184],{},"LastPass en 2022",". Según LastPass, el atacante entró a la computadora personal de un ingeniero de DevOps por un software multimedia vulnerable, le instaló un registrador de teclas, capturó su contraseña maestra y llegó a la bóveda corporativa y a los respaldos en la nube. LastPass no nombró el programa; varios medios lo identificaron como Plex, con una falla corregida años antes. Si tu administrador o tu proveedor de TI entra a tus servidores desde la máquina donde corre un Plex abierto a internet, tu seguridad depende de ese Plex.",[35,187,189],{"id":188},"qué-hacer","Qué hacer",[191,192,193,200,206,222,278,289,299],"ol",{},[194,195,196,199],"li",{},[15,197,198],{},"Pregunta quién tiene Plex."," Revisa las aplicaciones de los NAS y servidores, y pregunta a quien administra tus sistemas si lo tiene en el equipo desde el que se conecta. Si el negocio no lo usa, desinstálalo.",[194,201,202,205],{},[15,203,204],{},"Actualiza a 1.43.3.10861 o posterior"," y confirma la versión que de verdad corre. En NAS y Docker la actualización automática a menudo no ocurre: hay que bajar el paquete o la imagen nueva.",[194,207,208,211,212,217,218,33],{},[15,209,210],{},"No lo dejes expuesto."," Desactiva el acceso remoto de Plex y quita el reenvío de puertos del router. Para entrar desde fuera, usa una VPN (",[213,214,216],"a",{"href":215},"/blog/tutorial/configurar-vpn-wireguard","WireGuard paso a paso",") o evalúa ",[213,219,221],{"href":220},"/blog/comparativa/vpn-tradicional-vs-ztna","ZTNA",[194,223,224,227,228],{},[15,225,226],{},"Busca señales de intrusión"," si estuvo expuesto y sin actualizar después del 16 de octubre:\n",[229,230,231,244,251],"ul",{},[194,232,233,234,237,238,241,242,33],{},"Procesos hijos de Plex desconocidos, CPU alta constante, o programas llamados ",[166,235,236],{},"docker",", ",[166,239,240],{},"x"," o ",[166,243,168],{},[194,245,246,247,250],{},"Archivos inesperados en la carpeta ",[166,248,249],{},"Codecs"," y tareas programadas (cron, systemd) que nadie creó.",[194,252,253,254,257,258,260,261,263,264,266,267,269,270,273,274,277],{},"Tráfico con 45.194.92",[255,256,33],"span",{},"222, 91.92.40",[255,259,33],{},"202, 176.65.139",[255,262,33],{},"228, 217.60.194",[255,265,33],{},"116 o proxystream",[255,268,33],{},"st, o peticiones a ",[166,271,272],{},"/player/timeline/subscribe"," con agente ",[166,275,276],{},"Python-urllib/3.10",". Los atacantes cambian estos datos; no dependas solo de la lista.",[194,279,280,283,284,288],{},[15,281,282],{},"Si hay rastros, trátalo como comprometido:"," desconéctalo, rescata solo datos, reinstala y restaura de un respaldo previo (",[213,285,287],{"href":286},"/blog/recurso/template-politica-respaldos-empresa","política de respaldos",").",[194,290,291,294,295,288],{},[15,292,293],{},"Cambia credenciales."," Cierra sesión en todos los dispositivos de la cuenta Plex y cambia su contraseña; si desde esa computadora se entraba a sistemas de la empresa, rota también esas claves (",[213,296,298],{"href":297},"/blog/tutorial/contrasenas-filtradas-empresa","qué hacer con contraseñas filtradas",[194,300,301,304,305,309],{},[15,302,303],{},"Separa lo personal de lo administrativo."," Las cuentas con privilegios se usan desde equipos de trabajo, con ",[213,306,308],{"href":307},"/blog/tutorial/implementar-gestor-contrasenas-empresa","gestor de contraseñas"," y doble factor, no desde la PC familiar.",[35,311,313],{"id":312},"el-patrón-se-repite","El patrón se repite",[12,315,316,317,321,322,325],{},"Como con ",[213,318,320],{"href":319},"/blog/noticias/globalprotect-cve-2026-0257-ransomware-qilin-settra","GlobalProtect y el ransomware Qilin",", son fallas con parche atacadas en cuanto sale el código: aquí pasó ",[15,323,324],{},"un día",". La diferencia es que muchas veces nadie en la empresa sabe que Plex existe; el primer paso es el inventario.",[12,327,328,329,333,334,338],{},"En ",[213,330,332],{"href":331},"/servicios/ciberseguridad","ciberseguridad"," e ",[213,335,337],{"href":336},"/servicios/infraestructura","infraestructura"," revisamos qué está expuesto en tu red y dejamos el acceso remoto detrás de una VPN.",[12,340,341],{},[166,342,343],{},"Fuentes: Cybersecurity News y Daily Security Review (19 de octubre de 2026), SentinelOne, foro de Plex (aviso de septiembre de 2026), BetaNews e informe de LastPass sobre 2022. Al 20 de octubre no había cifra confiable de servidores comprometidos.",[345,346],"call-to-action",{"description":347,"eyebrow":348,"icon":349,"label":350,"title":351,"to":352},"Inventariamos NAS, servidores y puertos abiertos, actualizamos lo pendiente y cerramos el acceso remoto que no necesitas.","NAS y servicios expuestos","i-lucide-calendar-check","Agendar revisión","¿Hay algo olvidado abierto a internet en tu red?","/contacto",{"title":354,"searchDepth":355,"depth":356,"links":357},"",2,3,[358,359,360,361],{"id":37,"depth":355,"text":38},{"id":157,"depth":355,"text":158},{"id":188,"depth":355,"text":189},{"id":312,"depth":355,"text":313},"noticias",{"title":364,"description":365,"label":366,"to":331,"icon":367},"¿Sabes qué está expuesto a internet en tu red?","Revisamos NAS, servidores y puertos abiertos, actualizamos lo pendiente y dejamos el acceso remoto detrás de una VPN.","Ver ciberseguridad","i-lucide-shield-check","2026-10-20","Desde el 17 de octubre atacan servidores Plex anteriores a 1.43.3.10861 con la cadena Plex2Shell. Por qué importa si hay Plex en tu NAS o en casa de quien administra.",false,"md",[373,376,379,382],{"question":374,"answer":375},"¿Qué versión de Plex Media Server está a salvo?","Los reportes del 19 de octubre de 2026 (Daily Security Review, SentinelOne y Cybersecurity News) coinciden en que la cadena Plex2Shell afecta a las versiones anteriores a 1.43.3.10861 y que esa compilación la corrige. Plex publicó la 1.43.3 a principios de septiembre, pero el repositorio del investigador marca como vulnerables las anteriores a 1.43.3.10828, así que lo prudente es tener la 1.43.3.10861 o una posterior.",{"question":377,"answer":378},"Si el servidor Plex no está abierto a internet, ¿me afecta?","El riesgo grande es para los servidores alcanzables desde internet, que es donde se vieron los ataques. Uno que solo responde dentro de la red está menos expuesto, pero cualquier equipo ya infectado en esa red podría usar la misma cadena. Actualiza de todos modos.",{"question":380,"answer":381},"¿Qué tiene que ver Plex con la seguridad de una empresa?","Plex suele correr en NAS de oficina o en computadoras personales de quien administra los sistemas. En el robo a LastPass de 2022, según la propia empresa, el atacante entró a la computadora de casa de un ingeniero por un software multimedia vulnerable, le instaló un keylogger y con eso llegó a la bóveda corporativa. Varios medios identificaron ese software como Plex.",{"question":383,"answer":384},"¿Qué instalan los atacantes?","En el señuelo (honeypot) del investigador BoredHackerBlog se observaron XMRig, un minero de criptomonedas, y un programa llamado myawesomeproxy que revende la conexión a internet de la víctima. Con ejecución de código en el equipo, el atacante puede instalar cualquier otra cosa.",null,"/images/blog/noticias/plex2shell-plex-media-server-explotado-nas.jpg","Servidor NAS de oficina con un ícono de reproducción multimedia y una alerta roja de intrusión","informational",[390,391,392,393],"plex2shell","plex media server vulnerabilidad 2026","cve-2026-96652","plex nas actualizar 1.43.3",{},true,"/blog/noticias/plex2shell-plex-media-server-explotado-nas","2026-10-20T15:30:00-06:00",5,{"title":5,"description":369},"Plex2Shell: servidores Plex atacados, qué revisar","blog/noticias/plex2shell-plex-media-server-explotado-nas",[332,403,404,405],"vulnerabilidades","nas","trabajo remoto","ZsU-F40togpoUJ__lQUHUNchnm0yAP_b0nYXaa1rhK8",{"path":408,"title":409},"/blog/noticias/salario-minimo-2027-negociacion-presupuesto-nomina","Salario mínimo 2027: empresarios piden solo inflación, la CTM hasta 10 % y la Conasami busca un punto intermedio",[411,417,423],{"path":412,"title":413,"description":414,"date":368,"category":362,"image":415,"imageAlt":416,"readingTime":398},"/blog/noticias/senado-aprueba-ley-economia-digital-pagos","El Senado aprobó la Ley de Economía Digital: ya solo falta el DOF para que Hacienda elija dónde no habrá efectivo","El pleno del Senado aprobó el 20 de octubre la Ley de Economía Digital sin cambios. Pasa al Ejecutivo; tras el DOF, Hacienda tendrá 15 días hábiles para fijar sectores.","/images/blog/noticias/senado-aprueba-ley-economia-digital-pagos.jpg","Pleno del Senado con un ícono de pago con código QR y un calendario marcando la publicación en el Diario Oficial",{"path":418,"title":419,"description":420,"date":368,"category":362,"image":421,"imageAlt":422,"readingTime":398},"/blog/noticias/ivanti-connect-secure-cve-2026-104935-dia-cero","Ivanti Connect Secure: día cero explotado desde octubre y una segunda falla todavía sin parche","Ivanti corrigió el 13 de octubre CVE-2026-104935, explotada desde el día 1 en su VPN Connect Secure. Una falla de la misma cadena sigue sin parche. Qué hacer.","/images/blog/noticias/ivanti-connect-secure-cve-2026-104935-dia-cero.jpg","Equipo de acceso remoto VPN en un rack con una alerta roja y registros de eventos borrados en una pantalla",{"path":424,"title":425,"description":426,"date":368,"category":362,"image":427,"imageAlt":428,"readingTime":398},"/blog/noticias/gemini-argon-flash-precio-se-duplica-diciembre-enero","Gemini 4 Argon ya está disponible, pero su precio se duplica el 1 de diciembre; Flash, el 1 de enero","Gemini 4 Argon llegó a todos el 13 de octubre a 2 y 10 dólares, que suben a 4 y 20 el 1 de diciembre. Gemini 3.8 Flash duplica su precio en 2027. Qué hacer.","/images/blog/noticias/gemini-argon-flash-precio-se-duplica-diciembre-enero.jpg","Gráfica de costo mensual de una API de inteligencia artificial que se duplica en un calendario de diciembre y enero",{"id":430,"avatar":385,"bio":431,"entityType":432,"expertise":433,"extension":434,"meta":435,"name":6,"role":436,"slug":437,"social":385,"stem":438,"url":7,"__hash__":439},"authors/authors/diego-herrera.yml","Ingeniero en ciberseguridad e infraestructura IT. Protege la operación de empresas mexicanas contra amenazas y caídas de servicio.","Person","Diego lidera los proyectos de ciberseguridad e infraestructura de Syswork México. Ha ejecutado auditorías de seguridad, hardening de servidores, despliegues de redes y planes de continuidad para empresas en sectores críticos. Escribe sobre seguridad, servidores, cloud y redes con un enfoque defensivo y orientado a riesgos reales del negocio.","yml",{},"Especialista en Ciberseguridad e Infraestructura","diego-herrera","authors/diego-herrera","vrWQ35_ItOQjxvsvvG7wu5-wWk5ytSOlz-Ij9viIvzM"]