Piratas informáticos explotan desde el 17 de octubre una cadena de cuatro fallas de seguridad en Plex Media Server para tomar control remoto de servidores domésticos sin necesitar contraseña, instalar mineros de criptomonedas y convertir los equipos en intermediarios de tráfico anónimo. La cadena de fallas, bautizada Plex2Shell, combina cuatro vulnerabilidades: un fraude de solicitudes del lado del servidor sin autenticación, acceso indebido a funciones internas del programa, robo del token de administrador del dueño del servidor y escritura arbitraria de archivos en la carpeta de códecs. Combinadas, permiten ejecutar código con los mismos permisos que el propio servicio de Plex. Plex corrigió las cuatro fallas a comienzos de septiembre con la versión 1.43.3 y pidió entonces a los usuarios que actualizaran. Tres semanas después publicó los identificadores correspondientes: CVE-2026-96652, CVE-2026-96654, CVE-2026-96655 y CVE-2026-96656, una de ellas con una gravedad de 8,6 sobre 10.
Fuente: Infobae — Tecnología — ver publicación original.
