Plex Media Server’da Plex2Shell Uzaktan Kod Çalıştırma Tehlikesi

Plex Media Server kullanıcıları, sunucularını hedef alan ciddi bir güvenlik tehdidiyle karşı karşıya. Plex Media Server güvenlik açığı zinciri, siber saldırganlar tarafından aktif olarak istismar edilerek sistemlere kripto madencileri ve kötü amaçlı arka kapılar yerleştirilmesine yol açıyor. Güvenlik araştırmacıları tarafından Plex2Shell adı verilen bu zafiyetler dizisi, kimlik doğrulaması gerektirmeyen uzaktan kod çalıştırma yeteneği sunarak, yama uygulanmamış sunucuları savunmasız bırakıyor. Açıkların teknik detaylarının kamuoyuna duyurulmasından kısa süre sonra başlayan bu saldırılar, kişisel medya kütüphanelerinin güvenliğini sarsıcı bir biçimde tehdit ediyor.

Medya Sunucularını Sallayan Plex2Shell Zafiyetleri

Plex Media Server, milyonlarca kullanıcının kişisel medya kütüphanelerini düzenlemesine ve farklı cihazlar üzerinden erişmesine olanak tanıyan popüler bir platform. Ancak bu geniş kullanıcı tabanı, platformu siber saldırganlar için cazip bir hedef haline getiriyor. Son dönemde ortaya çıkan Plex2Shell adı verilen kritik zafiyet zinciri, dört farklı güvenlik açığının birleşimiyle uzaktan kod çalıştırma (RCE) imkanı sunuyor.

Bu zafiyetler, güvenlik araştırmacısı Zach Main tarafından 27 Temmuz 2026 tarihinde Plex’e bildirilmişti. Şirket, hızlı bir şekilde harekete geçerek 3 Ağustos 2026 tarihinde yayımlanan Plex Media Server 1.43.3.10861 sürümüyle bu açıkları kapattı. Ancak, Plex2Shell zincirinin teknik detaylarının 16 Ekim 2026’da kamuoyuna açıklanmasından yalnızca bir gün sonra, yama uygulanmamış sunucuları hedef alan aktif saldırılar kaydedilmeye başlandı. Bu durum, siber güvenlik dünyasında bilginin yayılma hızının ve saldırganların bu bilgiyi ne kadar çabuk eyleme dönüştürebildiğinin çarpıcı bir göstergesi.

Dörtlü Kombinasyon: Uzaktan Kod Çalıştırmanın Anatomisi

Plex2Shell, tek bir zafiyet yerine, dört farklı açığın stratejik birleşiminden güç alıyor. Bu kombinasyon, kimlik doğrulaması yapılmamış bir kullanıcının dahi sunucu üzerinde tam kontrol elde etmesine olanak tanıyor. Zincirdeki ilk halka, CVE-2026-96652 (CVSS: 5.3) olarak bilinen bir kimlik doğrulaması gerektirmeyen sunucu tarafı istek sahteciliği (SSRF) zafiyeti. Bu açık, /player/timeline uç noktasında bulunan ve protocol parametresinin doğrulanmadan bir oynatıcı URL’sine eklenmesinden kaynaklanıyor. Saldırganlar bu sayede Plex sunucusunu istedikleri bir hedefe POST isteği göndermeye zorlayabiliyor.

İkinci adımda, CVE-2026-96654 (CVSS: 6.9) devreye giriyor. Bu açık, searchOne uç noktasındaki URL değerlerinin yanlış işlenmesiyle ilgili. Saldırganlar, bu zafiyeti kullanarak diğer eklentilerin işlevlerini çağırabiliyor ve kendi parametrelerini sağlayarak sunucu sahibinin yönetici belirtecini (admin token) elde edebiliyor. Bu belirteç, sonraki adımlar için kritik bir anahtar görevi görüyor.

Yönetici belirteci ele geçirildikten sonra, CVE-2026-96655 (CVSS: 5.3) numaralı SSRF zafiyeti kullanılıyor. Bu, kimliği doğrulanmış bir kullanıcının (yani ele geçirilen yönetici belirtecine sahip saldırganın) /video/:/transcode/universal yol parametresi aracılığıyla dahili veya harici herhangi bir adrese istek göndermesine olanak tanıyor. Bu aşamada, saldırganlar kendi kötü amaçlı ELF yüklerini (taşınabilir çalıştırılabilir dosya) barındıran bir sunucudan zararlı yazılımı hedef sunucuya aktarabiliyor.

Zincirin son ve en kritik halkası ise CVE-2026-96656 (CVSS: 8.6) olarak öne çıkıyor. Bu açık, dosya adı veya yolunun harici kontrolüyle ilgili. Ele geçirilen ELF paylaşımlı nesnesinin, saldırganın seçtiği bir yola, özellikle de Codecs dizinine yerleştirilmesine ve orada çalıştırılmasına izin veriyor. Bu dört zafiyetin birleşimiyle, saldırganlar yama uygulanmamış Plex Media Server örneklerinde kimlik doğrulaması gerektirmeyen uzaktan kod çalıştırma yeteneği kazanıyor ve sunucu üzerinde tam kontrol sağlayabiliyor.

Kripto Madenciler ve Gizli Arka Kapılar: Saldırıların İzleri

Plex2Shell zafiyetlerini istismar eden saldırılar, iki ana türde kötü amaçlı yazılımın dağıtımına odaklanıyor. Bunlardan ilki, sistem kaynaklarını sömürerek kripto para madenciliği yapan yazılımlar. Aktif saldırılarda, uzak bir sunucudan (217.60.194[.]116 IP adresinden) indirilen bir madenci yükünün kullanıldığı gözlemlendi. Bu madenci, XMRig tabanlı mylovelyminer adını taşıyor ve madencilik sunucusu olarak ota.proxystream[.]st adresini işaret ediyor.

İkinci kötü amaçlı yük ise myawesomeproxy adı verilen, oldukça gizli bir Linux arka kapısı ve ters proxy yazılımı. VirusTotal analizlerine göre, bu yazılım hedef sisteme sızdıktan sonra sessizce çalışıyor. Çalıştırıldığında ortaya çıkan bir mesaj, bu yazılımın yüklü olduğu cihazların internet trafiğinin harici kullanımına izin verildiğini belirtiyor. Bu, saldırganların ele geçirdikleri sunucuları kendi ağ trafiği için bir sıçrama tahtası olarak kullanabileceği anlamına geliyor, potansiyel olarak diğer siber suç faaliyetleri için anonim bir maske sağlıyor.

Saldırıların başlatıldığı IP adresleri arasında 91.92.40[.]202, 176.65.139[.]228 ve 45.194.92[.]222 gibi adresler yer alıyor. Saldırılarının yaygınlığı Reddit üzerinde de yankı buldu; birçok Plex kullanıcısı, sunucularının aynı mylovelyminer yüküyle ele

Kullanıcılar İçin Acil Eylem Planı: Sunucularınızı Koruyun

Plex Media Server kullanıcıları için en kritik adım, sunucularını acilen güncellemektir. Plex, bu zafiyetleri Plex Media Server 1.43.3.10861 sürümünde yamalamıştır. Bu nedenle, sunucunuzun bu veya daha güncel bir sürüme yükseltildiğinden emin olmanız, potansiyel saldırılara karşı ilk ve en önemli savunma hattını oluşturur. Güncelleme işlemi, sunucunuzun güvenlik durumunu önemli ölçüde güçlendirecek ve bilinen bu istismar zincirine karşı koruma sağlayacaktır.

Güncelleme sonrası dahi, sunucularınızın periyodik güvenlik denetimlerini sürdürmek önemlidir. Güvenlik duvarı kurallarınızı gözden geçirmek, yalnızca gerekli portları açmak ve Plex uygulamanızın çalıştığı hesabın yetkilerini en aza indirmek ek koruma sağlayabilir. Bilinmeyen veya şüpheli süreçlerin sisteminizde çalışıp çalışmadığını düzenli olarak kontrol etmek, olası bir ihlali erken aşamada tespit etmenize yardımcı olur.

Plex Zafiyetleri ve Siber Güvenliğin Sürekli Mücadelesi

Plex2Shell zafiyet zinciri, siber güvenlik dünyasında güncel kalmanın ve proaktif tedbirler almanın ne kadar hayati olduğunu bir kez daha gözler önüne seriyor. Tek bir güvenlik açığı yerine, birden fazla zafiyetin birleştirilerek daha yıkıcı bir etki yaratması, karmaşık saldırı vektörlerinin giderek arttığını gösteriyor. Bu tür saldırılar, bireysel kullanıcıların medya sunucularından kurumsal ağlara kadar geniş bir yelpazedeki sistemleri hedef alabiliyor.

Saldırılarda kullanılan madencilik ve ters proxy altyapısı da dikkat çekici. Özellikle global.relay.proxystream[.]st alt alan adının, Ağustos 2026’da Bitsight tarafından AISURU DDoS ve proxyware botnet’iyle ilişkilendirilmiş olması, bu saldırganların daha büyük bir siber suç ekosisteminin parçası olabileceğini düşündürüyor. Bu durum, basit bir kripto madencilik saldırısının çok daha geniş çaplı ve organize bir tehdidin öncüsü olabileceği ihtimalini güçlendiriyor. Kullanıcıların güncellemeleri aksatmaması ve sistemlerini sürekli gözetim altında tutması, bu sürekli mücadelede kritik bir rol oynuyor.