แฮกเกอร์ฉวยช่องโหว่ Plex2Shell โจมตีเซิร์ฟเวอร์ฝังมัลแวร์ขุดคริปโตและแบ็กดอร์ Linux
มีข่าวเกี่ยวกับความปลอดภัยทางไซเบอร์มาฝากกันครับ หลักจากที่มีการเผยแพร่โค้ดทดสอบการเจาะระบบออกสู่สาธารณะได้เพียงวันเดียว เหล่าผู้ไม่หวังดีก็เริ่มฉวยโอกาสโจมตีช่องโหว่ลูกโซ่ใน Plex Media Server ที่มีชื่อเรียกรวมกันว่า "Plex2Shell" กันอย่างดุเดือดแล้วครับ เพื่อแอบติดตั้งโปรแกรมขุดคริปโตเคอร์เรนซีและซอฟต์แวร์รีออสรีเวิร์สพร็อกซี่เข้าไปในระบบ
สำหรับช่องโหว่ชุดนี้ถูกค้นพบและแจ้งเตือนโดยนักวิจัยด้านความปลอดภัย โดยเป็นการรวมพลังช่องโหว่ถึง 4 ตัวเข้าด้วยกัน (เรียกว่าทำ Chaining) เพื่อเจาะระบบเซิร์ฟเวอร์ที่ยังไม่ได้อัปเดต โดยมีรายละเอียดคร่าวๆ ดังนี้ครับ:
- CVE-2026-96652 (CVSS: 5.3): ช่องโหว่ SSRF ผ่านทางเอนด์พอยต์ /player/timeline ที่ไม่มีการตรวจสอบพารามิเตอร์ ทำให้อแฮกเกอร์สามารถสั่งให้ Plex เซิร์ฟเวอร์ส่งคำขอ POST ไปยังปลายทางที่ต้องการได้
- CVE-2026-96654 (CVSS: 6.9): ช่องโหว่ในการจัดการค่า URL ในเอนด์พอยต์ searchOne ซึ่งเปิดทางให้เรียกฟังก์ชันของปลั๊กอินอื่นและขโมยแอดมินโทเคนของเจ้าของระบบมาได้
- CVE-2026-96655 (CVSS: 5.3): ช่องโหว่ SSRF ที่เปิดทางให้ผู้มีโทเคน สามารถร้องขอที่อยู่ภายในหรือภายนอกระบบผ่านพารามิเตอร์ /video/:/transcode/universal
- CVE-2026-96656 (CVSS: 8.6): ช่องโหว่ควบคุมชื่อไฟล์หรือเส้นทางภายนอก ทำให้สามารถนำอ็อบเจกต์ ELF ไปวางไว้ในไดเรกทอรี Codecs และสั่งรันได้สำเร็จ
สถานการณ์การโจมตีล่าสุด:
มีรายงานการตรวจพบการโจมตีจริง (In-the-wild) หลังจากรายละเอียดเทคนิคถูกเผยแพร่เมื่อวันที่ 16 ตุลาคม โดยพบการโจมตีมาจากไอพีต่างๆ เช่น 91.92.40[.]202, 176.65.139[.]228 และ 45.194.92[.]222 เป็นต้น
เป้าหมายหลักของการโจมตีคือการปล่อยมัลแวร์ตัวร้ายที่มีชื่อว่า "myawesomeproxy" (ซึ่งถูกระบุว่าเป็น Linux backdoor และ reverse proxy) พร้อมกับแอบฝังตัวขุดเหรียญ XMRig ที่ชื่อว่า "mylovelyminer" ซึ่งเชื่อมต่อไปยังเซิร์ฟเวอร์ขุดเหรียญภายนอก
สำหรับใครที่ใช้งาน Plex Media Server อยู่ในตอนนี้ รีบตรวจสอบและอัปเดตระบบให้เป็นเวอร์ชันล่าสุดเพื่อความปลอดภัยกันด้วยนะครับ ช่วงนี้ภัยไซเบอร์มาไวไปไว การอัปเดตซอฟต์แวร์ให้เป็นปัจจุบันคือเกราะป้องกันที่ดีที่สุดครับผม!
#ดรกฤษฎาแก้ววัดปริง #ไทยสมาร์ทซิตี้ #SmartCity #DRKRIT #สมาร์ทซิตี้คลิก
