AKTUELL
Plex2Shell: Plex bestätigt aktive Angriffe auf ältere Media Server
Die eigene Filmsammlung auf dem NAS soll von unterwegs erreichbar sein. Bei veralteten Plex-Servern nutzen Angreifer diesen Zugang inzwischen für fremde Zwecke: Plex hat am 19. Oktober aktive Angriffe über die als Plex2Shell bekannte Schwachstellenkette bestätigt. Die aktualisierte Sicherheitswarnung des Unternehmens betrifft besonders ältere Installationen, die aus dem Internet erreichbar sind.
Eine Korrektur ist bereits verfügbar: Plex Media Server ab Version 1.43.3.10861 ist laut Hersteller von diesen Lücken nicht betroffen. Für Betreiber zählt jedoch auch, ob ihr Server vor dem Update angegriffen wurde. Das Schließen der Schwachstellen und die Wiederherstellung eines vertrauenswürdigen Systems sind zwei unterschiedliche Aufgaben.
Wie Plex2Shell ohne gültige Anmeldung zum Server gelangt
Plex2Shell verbindet vier Schwachstellen: CVE-2026-96652, CVE-2026-96654, CVE-2026-96655 und CVE-2026-96656. Der Sicherheitsforscher Zach Main hat die technische Untersuchung am 16. Oktober veröffentlicht. Sein Originalbericht beschreibt, wie mehrere fehlerhafte Vertrauensannahmen zusammenwirken.
Vereinfacht bringt eine Anfrage von außen den Server dazu, sich selbst über seine interne Schnittstelle anzusprechen. Dort gelten großzügigere Zugriffsregeln. Über weitere Fehler lässt sich ein administrativer Zugriffsschlüssel erlangen und schließlich eine manipulierte Datei einschleusen, die Plex beim Laden von Medienkomponenten ausführt.
Der fremde Code läuft dabei mit den Rechten des Plex-Prozesses. Daraus folgt kein pauschaler Vollzugriff auf jedes Gerät im Heimnetz. Welche Dateien und Freigaben erreichbar sind, hängt von den Berechtigungen des Dienstes und seiner Umgebung ab. Gerade ein Medienserver mit eingebundenen Netzlaufwerken kann aber Zugang zu mehr Daten haben, als seine reine Wiedergabefunktion vermuten lässt.
Beobachtet wurden Kryptominer und Proxysoftware
Der Betreiber von BoredHackerBlog registrierte am 17. Oktober erfolgreiche Angriffe auf einen absichtlich verwundbaren Testserver, einen sogenannten Honeypot. In seinem Bericht über die beobachtete Ausnutzung dokumentiert er zunächst nachgeladene Kryptominer und später zusätzlich Proxysoftware.
Ein Miner verbraucht die Rechenleistung des fremden Servers, um Kryptowährung zu erzeugen. Ein Proxy verwendet dessen Internetanschluss, um Datenverkehr anderer Personen weiterzuleiten. Neben einem ausgelasteten Prozessor kann damit auch die eigene Verbindung für fremde Aktivitäten eingesetzt werden.
Die Beobachtungen belegen konkrete erfolgreiche Angriffe auf diesen Testserver. Eine belastbare Gesamtzahl betroffener Heimserver lässt sich daraus nicht ableiten. Auch auffällige Auslastung allein ist kein Beweis: Plex kann beispielsweise bei der Medienanalyse oder beim Umwandeln von Videos regulär viel Rechenleistung benötigen.
Entscheidend ist die tatsächlich laufende Serverversion
Die Versionsnummer steht in Plex Web unter Einstellungen → Server → Allgemein. Dort zeigt Plex auch verfügbare Aktualisierungen an. Die offizielle Beschreibung der Servereinstellungen unterscheidet dabei ausdrücklich zwischen den Updatewegen: Automatische Serverupdates während der Wartung sind für Windows und macOS vorgesehen; Linux und NAS-Systeme verwenden andere Installationswege.
Auf einem NAS kann daher eine manuelle Paketinstallation nach Herstelleranleitung nötig sein. Ein aktuelles NAS-Betriebssystem oder eine aktualisierte Wiedergabe-App sagt noch nichts über den Stand des separat installierten Plex Media Server aus. Maßgeblich bleibt die Versionsanzeige des laufenden Dienstes.
Auch bei Docker hängt die Aktualisierung vom verwendeten Abbild ab. Die Dokumentation des offiziellen Plex-Containers beschreibt für die Varianten „public“ und „beta“ eine Updateprüfung beim Start. Dieses Verhalten lässt sich nicht auf jedes fremde Containerabbild übertragen. Nach jeder Aktualisierung sollte deshalb erneut die tatsächlich gestartete Serverversion kontrolliert werden.
Bei einem möglichen Einbruch reicht das Update allein nicht
Plex nennt unbekannte Unterprozesse, fremde Bibliotheken im Codecs-Verzeichnis und ungewöhnliche Verbindungen als Warnzeichen. Lässt sich ein Einbruch nicht ausschließen, empfiehlt das Unternehmen, den Server aus einer sauberen Installation neu aufzubauen und dabei das alte Plex-Datenverzeichnis nicht zu übernehmen. Außerdem sollen alle angemeldeten Geräte abgemeldet und das Kontopasswort geändert werden.
Dateien, eingebundene Freigaben und Zugangsdaten, auf die der Dienst zugreifen konnte, sind dann als möglicherweise offengelegt zu behandeln. Eine neue Versionsnummer beseitigt weder bereits abgeflossene Daten noch automatisch alle zuvor eingeschleusten Komponenten. Für den Wiederaufbau helfen getrennte, überprüfbare Sicherungen; unser Beitrag zur 3-2-1-Backup-Strategie erklärt die dahinterstehende Trennung der Kopien.
Den Zugang von außen bewusst begrenzen
Die Plex-Dokumentation zum Fernzugriff erklärt, dass der Server Verbindungen unter anderem über automatische oder manuelle Portfreigaben einrichtet. Wer ausschließlich zu Hause schaut, sollte den Fernzugriff abschalten und nicht benötigte Portweiterleitungen im Router entfernen.
Für den Zugriff von unterwegs lohnt sich ein Blick auf die tatsächlich benötigten Verbindungen. Unser Überblick zu Fernzugriff über VPN, Portfreigaben und andere Wege ordnet die Unterschiede ein. Eine solche Zugangslösung ersetzt das Plex-Update allerdings nicht. Jetzt kommt es darauf an, den laufenden Softwarestand zu prüfen und bei einer zuvor öffentlich erreichbaren alten Installation auch mögliche Angriffsspuren ernst zu nehmen.
Stand der Recherche: 20. Oktober 2026, 14:06 Uhr MESZ.
Hauptquellen
- Plex: Bestätigung aktiver Angriffe und Maßnahmen für betroffene Server
- Zach Main: Technischer Originalbericht zu Plex2Shell
- BoredHackerBlog: Dokumentierte Angriffe auf einen verwundbaren Plex-Testserver
- Plex Support: Versionsanzeige und Updatewege des Media Server
- Plex: Dokumentation des offiziellen Docker-Containers
Transparenzhinweis: Der Beitrag beruht auf der Plex-Sicherheitswarnung, der technischen Originaluntersuchung und dokumentierten Honeypot-Beobachtungen. gadgetChecks hat die Schwachstellen nicht selbst getestet und keine betroffenen Systeme untersucht.
Technik-Deals im Überblick
Ausgewählte Angebote und zeitlich begrenzte Preisaktionen rund um Technik und Gadgets.
Mehr auf gadgetChecks
Entdecke mehr bei gadgetChecks
gadgetChecks Technik
Tests, Kaufberatung, Technik-News, Ratgeber, Streaming und aktuelle Angebote.
Technikmagazin öffnenWas sich für dich ändert
Regeln, Fristen, Kosten und Warnungen mit ihren konkreten Folgen für Verbraucher.
Alltag Aktuell öffnenGames, Plattformen und Deals
Aktuelle Meldungen zu Releases, Konsolen, PC Gaming, Mobile, Studios und Abos.
Gaming öffnenProdukte, Angebote und Ideen
Neues für Küche, Reinigung, Wohnen, Garten und Balkon – verständlich und praktisch eingeordnet.
Zuhause öffnenPflege, Kosmetik und Geräte
Produkte und Wissen für Frauen und Männer – ehrlich getestet und verständlich eingeordnet.
Gepflegt öffnenTraining, Ernährung und Supplements
Sport, Ausrüstung und Nahrungsergänzung – verständlich erklärt und kritisch eingeordnet.
Sport & Supplements öffnen
