Bản vá có từ tháng 8, nhưng phải đến khi mã khai thác được công bố thì nhiều người mới để ý. Ngày 21/10/2026, BleepingComputer đưa tin CISA cảnh báo bốn lỗ hổng trong Plex Media Server, gọi chung là Plex2Shell, đang bị khai thác để cài trình đào tiền ảo và phần mềm proxy. Nhiều người dùng Việt Nam chạy Plex trên VPS, máy chủ thuê riêng hoặc NAS để xem phim, nên đây là bản cập nhật cần kiểm tra ngay.

Tóm tắt nhanh

  • Ai bị ảnh hưởng: mọi máy chủ Plex Media Server trước bản 1.43.3.10861, đặc biệt máy mở cổng TCP 32400 ra Internet.
  • Mức độ: từng lỗi riêng lẻ ở mức trung bình đến cao (CVSS 5.3 đến 8.6). Nhà nghiên cứu Zach Main chấm cả chuỗi 9.8.
  • Đã bị khai thác chưa: có, từ ngày 17/10/2026. CISA đã đưa cả bốn CVE vào danh mục KEV.

Bốn lỗ hổng trong chuỗi Plex2Shell

Zach Main báo cáo các lỗi cho Plex ngày 27/7. Plex phát hành bản vá 1.43.3.10861 vào đầu tháng 8: BleepingComputer ghi ngày 4/8, Field Effect ghi 3–4/8. Chi tiết kỹ thuật được công bố ngày 16/10. Ở mức khái quát, chuỗi lỗi hoạt động như sau: kẻ tấn công lợi dụng lỗi giả mạo yêu cầu phía máy chủ (SSRF) để buộc Plex gọi vào API nội bộ của chính nó, lấy token quản trị, rồi lợi dụng lỗi ghi tệp trong phần cài đặt transcoder để Plex nạp một thư viện độc hại.

CVELoại lỗiCVSSHạn CISA cho cơ quan liên bang
CVE-2026-96652SSRF không cần xác thực5.33/11/2026
CVE-2026-96654Chèn URL (URL injection)6.923/10/2026
CVE-2026-96655SSRF cần xác thực, ở endpoint transcoder5.33/11/2026
CVE-2026-96656Ghi tệp tùy ý trong cài đặt transcoder8.623/10/2026

Về ngày CISA đưa vào KEV, các nguồn chưa thống nhất: thông báo của CISA mang ngày 20/10, còn Field Effect ghi 21/10.

Phiên bản bị ảnh hưởng và phiên bản vá

Sản phẩmBị ảnh hưởngPhiên bản vá
Plex Media Server (Linux, Windows, macOS, NAS, Docker)Trước 1.43.3.108611.43.3.10861 trở lên

Diễn biến khai thác

Ngay ngày 17/10, đã có báo cáo khai thác thực tế, ban đầu nhắm vào các honeypot Plex. Nhà nghiên cứu boredhackerblog ghi nhận kẻ tấn công dùng chuỗi lỗi để cài phần mềm đào tiền ảo và mã độc proxy. Proxy độc hại biến máy chủ của bạn thành điểm trung chuyển lưu lượng cho người khác, nên IP VPS có thể bị đưa vào danh sách đen. Mã chạy dưới tài khoản dịch vụ của Plex, nên mức thiệt hại còn tùy tài khoản này có quyền gì. Theo Shadowserver, hồi tháng 9 có hơn 36.000 máy chủ Plex mở ra Internet chưa vá.

Kiểm tra phiên bản và cập nhật

Trên VPS Ubuntu/Debian cài gói chính thức:

# Xem phiên bản đang cài
dpkg -l | grep plexmediaserver

# Cập nhật nếu đã thêm kho của Plex
sudo apt update && sudo apt install --only-upgrade plexmediaserver

# RHEL/AlmaLinux/Rocky
rpm -q plexmediaserver
sudo dnf upgrade plexmediaserver

Với Plex chạy bằng Docker, kéo image mới rồi tạo lại container:

docker pull plexinc/pms-docker:latest
docker compose up -d

Sau khi container khởi động lại, bạn vào Settings > General trong giao diện web của Plex để xác nhận số phiên bản. Một số image cộng đồng chỉ tải bản mới khi khởi động, nên đừng chỉ dựa vào tag latest.

Kiểm tra cổng 32400 có đang mở ra Internet và có tiến trình lạ ăn CPU không:

sudo ss -tlnp | grep 32400
ps -eo user,pid,%cpu,cmd --sort=-%cpu | head -n 15
sudo ss -tnp state established | grep -v ":22 "

Việc cần làm ngay

Với chủ VPS và máy chủ riêng chạy Plex

  1. Cập nhật lên 1.43.3.10861 trở lên và kiểm tra lại số phiên bản trong giao diện quản trị Plex.
  2. Nếu không cần truy cập từ xa, chặn cổng 32400 bằng tường lửa hoặc chỉ cho phép qua VPN.
  3. Kiểm tra thư mục Codecs trong thư mục dữ liệu Plex xem có thư viện .so lạ không. Đồng thời tìm tiến trình con lạ do tài khoản plex chạy và các kết nối ra ngoài bất thường.
  4. Máy chủ đã chạy bản lỗi và mở ra Internet cần được điều tra kỹ. Field Effect lưu ý bản vá không gỡ được mã độc đã cài.
  5. Đổi mật khẩu tài khoản Plex, đăng xuất mọi thiết bị và bật xác thực hai lớp.

Hai mục KEV khác cùng đợt cần lưu ý

  • SiteGuard Server Edition (CVE-2026-106931): WAF phổ biến ở Nhật cho Apache, Nginx và IIS. Lỗi chèn lệnh hệ điều hành đang bị khai thác. Bản vá là 8.00 Update 5, và 7.00 Update 6 cho Apache/Nginx trên FreeBSD. Nếu VPS của bạn đặt tại nhà cung cấp Nhật có cài sẵn SiteGuard, hãy kiểm tra.
  • Siemens Software Center (CVE-2026-110936): lỗi đường dẫn tìm kiếm không kiểm soát, đã bị khai thác. Cần lên bản 4.0.9.8 trở lên.

Người dùng shared hosting thường không chạy được Plex. Nếu bạn thuê seedbox hoặc dịch vụ Plex được quản lý, hãy hỏi nhà cung cấp đã cập nhật chưa.

Nguồn tham khảo