Một chuỗi lỗ hổng nghiêm trọng mang tên Plex2Shell đang bị các nhóm hacker rà quét trên diện rộng, đe dọa trực tiếp đến hơn 49.000 máy chủ Plex. Đáng chú ý, kẻ tấn công có thể chiếm trọn quyền điều khiển hệ thống mà không cần bất kỳ thông tin đăng nhập nào. Nếu bạn hoặc doanh nghiệp sử dụng máy chủ Plex, đây sẽ là những thông tin và hành động cần thiết để hạ nhiệt rủi ro ngay lập tức.
Chuỗi tấn công Plex2Shell là gì và hoạt động như thế nào?
Plex Media Server được biết đến là nền tảng quản lý và truyền phát đa phương tiện (phim ảnh, âm nhạc, hình ảnh) phổ biến với hơn 25 triệu người dùng toàn cầu tính đến năm 2025. Gần đây, hệ thống này đang phải đối mặt với Plex2Shell – chuỗi gồm 4 lỗ hổng bảo mật nghiêm trọng. Điểm nguy hiểm của chuỗi lỗ hổng này là cho phép kẻ tấn công thực thi mã từ xa (RCE – Remote Code Executive) mà hoàn toàn không cần xác thực trên các máy chủ chưa được vá.
Lỗ hổng: CVE-2026-96652
- Điểm CVSS: 7.1/10
- Giai đoạn 1: Đánh cắp mã xác thực Admin
Lỗ hổng: CVE-2026-96654
- Điểm CVSS: 7.5/10
- Giai đoạn 2: Lợi dụng lỗ hổng để buộc hệ thống tải tệp mã độc từ xa.
Lỗ hổng: CVE-2026-96655
- Điểm CVSS: 7.5/10
- Giai đoạn 3: Ghi tệp độc hại vào thư mục ứng dụng
Lỗ hổng: CVE-2026-96656
- Điểm CVSS: 8.6/10
- Giai đoạn 4: Thực thi mã độc và chiếm quyền kiểm soát
Kịch bản tấn công diễn ra hoàn toàn tự động chỉ trong vài giây:
- Trích xuất mã xác thực: Hacker gửi yêu cầu giả mạo đến end point /player/timeline. Ứng dụng Plex bị đánh lừa và vô tình phản hồi lại mã xác thực (token) của tài khoản Admin.
- Tải mã độc: Sử dụng token vừa thu được, kẻ tấn công ra lệnh cho Plex tải một tệp mã độc (định dạng .so) từ máy chủ do chúng kiểm soát về máy chủ Plex để chuẩn bị cho bước tấn công tiếp theo.
- Ghi tệp trái phép: Tệp mã độc được thả trực tiếp vào thư mục dữ liệu hoặc plugin của Plex.
- Chiếm quyền điều khiển: Plex tự động tải và kích hoạt tệp mã độc này, giúp hacker chính thức có được quyền thực thi mã từ xa (RCE).
Do điều kiện duy nhất để kích hoạt chuỗi tấn công là cổng 32400, cổng dịch vụ chính của Plex Media Server có thể kết nối từ Internet, bất kỳ máy chủ nào bật tính năng Remote Access (Truy cập từ xa) chưa cập nhật đều là mục tiêu dễ bị “tổn thương”.
Vì sao vẫn còn 49.000 máy chủ chưa được vá lỗi?
Mặc dù nhà phát triển đã phát hành bản sửa lỗi từ ngày 03/08/2026, dữ liệu quét Internet giữa tháng 10 cho thấy vẫn còn khoảng 49.000 máy chủ Plex chưa nâng cấp. Nguyên nhân đến từ ba yếu tố chính:
- Không có cảnh báo khẩn cấp đi kèm: Bản vá ra mắt vào tháng 8 nhưng không kèm theo bản tin cảnh báo bảo mật, khiến nhiều quản trị viên bỏ qua thông tin này trong phần ghi chú phát hành.
- Tâm lý chủ quan về “tường lửa”: Nhiều người dùng chủ quan rằng đã có tường lửa bảo vệ nên luôn bật tính năng truy cập từ xa, dẫn đến “cánh cửa” tấn công cho hacker xâm nhập
- Thông báo mập mờ: Các thông báo cập nhật ban đầu dùng thuật ngữ nhẹ nhàng, làm cộng đồng người dùng hiểu nhầm đây chỉ là một bản cập nhật tính năng tùy chọn.
Plex Media Server ngày nay không chỉ dừng lại ở các quy mô các hộ gia đình. Nó xuất hiện rộng rãi trong các doanh nghiệp vừa và nhỏ (nhằm chia sẻ video nội bộ), trường học, và cả cơ sở y tế (để xem hình ảnh DICOM). Việc chậm trễ cập nhật đang biến các môi trường này thành “miếng mồi béo bở” cho hacker.
Hacker làm gì sau khi chiếm được máy chủ Plex?
Các ghi nhận từ hệ thống honeypot xác nhận các đợt tấn công Plex2Shell hiện tại đều triển khai tự động hai loại payload nguy hiểm:
- Mã độc đào tiền ảo (mylovelyminer): Tự động cài đặt công cụ đào Monero (XMRig), âm thầm vắt cạn tài nguyên CPU/RAM khiến máy chủ luôn trong tình trạng quá tải, giật lag hoặc treo hệ thống.
- Mã độc biến máy chủ thành Proxy (myawesomeproxy): Đưa máy chủ nạn nhân vào mạng lưới botnet AISURU. Mạng lưới này chuyên bán lại băng thông bị chiếm đoạt để phục vụ các chiến dịch tấn công credential-stuffing (nhồi thông tin xác thực) hoặc ẩn danh hóa hành vi phạm tội trên mạng.
Mối đe dọa với doanh nghiệp: Điểm mù nguy hiểm trong quản trị công nghệ thông tin
Trong nhiều tổ chức, phần mềm giải trí truyền thông như Plex nằm ngoài danh mục quản lý lỗ hổng tiêu chuẩn. Bộ phận IT thường coi đây là ứng dụng cá nhân của nhân viên, trong khi nhân viên lại đinh ninh IT đã bảo vệ toàn bộ hạ tầng.
Chính “khoảng trống trách nhiệm” này khiến Plex2Shell phát huy hiệu quả hơn bao giờ hết. Nguy hiểm hơn, khi một máy chủ Plex trong mạng nội bộ bị biến thành node trong mạng botnet AISURU, kẻ xấu có thể dùng chính địa chỉ IP nội bộ của doanh nghiệp để tấn công ngược vào các hệ thống quản lý định danh như Okta hay Microsoft Entra ID.
Cơ quan An ninh Cơ sở hạ tầng và An ninh mạng Hoa Kỳ (CISA) đã đưa 4 CVE này vào danh sách chỉ thị khắc phục khẩn cấp với thời hạn chót là ngày 03/11/2026.
Kết luận:
Tóm lại, chuỗi lỗ hổng Plex2Shell đang biến mọi máy chủ Plex Media Server chưa được cập nhật thành mục tiêu tấn công dễ dàng cho hacker mà không cần đến bất kỳ mật khẩu nào. Chỉ trong vòng 24 giờ kể từ khi mã khai thác mẫu xuất hiện, kẻ xấu đã nhanh chóng lợi dụng điểm yếu này để cài cắm mã độc đào tiền ảo hay biến hệ thống thành mạng lưới trung gian độc hại. Theo thống kế, có tới 49.000 máy chủ chưa được vá lỗi trên toàn cầu khiến bất kỳ hệ thống Plex nào kết nối trực tiếp với Internet đều trở thành mục tiêu tấn công. Do đó, việc nâng cấp ngay lên phiên bản 1.43.3.10861 trong hôm nay chính là cách an toàn nhất để khép lại mọi cửa sổ rủi ro cho Plex của bạn.
>>> Đọc thêm thông tin về lỗ hổng PHP2Shell: PHP2Shell: Làn sóng thử khai thác tăng mạnh, máy chủ web đối mặt nguy cơ bị lôi kéo vào botnet
