Plex2Shell: Cara Cek dan Update Plex Media Server

Pemilik server media Plex di rumah atau di VPS perlu mengecek versi servernya. Empat celah di Plex Media Server yang dirangkai sebagai Plex2Shell kini dipakai penyerang untuk memasang penambang kripto dan perangkat proxy di server Linux. Perbaikannya sudah rilis sejak Agustus, jadi yang perlu dilakukan adalah memastikan server Anda sudah memakainya.

Informasi dicek pada 28 Oktober 2026.

Ringkasnya: pastikan Plex Media Server Anda berversi 1.43.3.10861 atau lebih baru, lalu cek apakah ada proses atau koneksi keluar yang mencurigakan.

Apa itu Plex2Shell

Plex2Shell adalah rantai empat celah yang, bila digabungkan berurutan, menurut peneliti memungkinkan eksekusi kode jarak jauh tanpa login pada Plex Media Server yang rentan:

• CVE-2026-96652: SSRF tanpa autentikasi lewat endpoint /player/timeline.
• CVE-2026-96654: penanganan URL yang keliru di endpoint searchOne, yang dipakai untuk mendapatkan token admin pemilik server.
• CVE-2026-96655: SSRF lain yang memerlukan token pemilik.
• CVE-2026-96656: kontrol nama atau jalur file yang memungkinkan penulisan dan eksekusi file di direktori Codecs.

Peneliti Zach Main melaporkannya ke Plex pada 27 Juli 2026, dan Plex memperbaikinya di versi 1.43.3.10861 yang rilis 3 Agustus 2026. Detail teknis rantai serangan dipublikasikan pada 16 Oktober, dan sehari kemudian percobaan eksploitasi di dunia nyata mulai tercatat. CISA memasukkan keempat CVE itu ke daftar Known Exploited Vulnerabilities pada 20 Oktober.

Yang dipasang penyerang

Menurut peneliti yang menganalisisnya, serangan memakai skrip untuk mengunduh dan menjalankan penambang kripto XMRig dengan nama proses mylovelyminer, serta program myawesomeproxy, sebuah backdoor dan reverse proxy untuk Linux yang bisa memakai koneksi internet Anda. Beberapa pengguna Plex di Reddit melaporkan server mereka terkena payload yang sama, tetapi belum diketahui apakah semuanya lewat Plex2Shell.

Langkah 1: cek versi Plex

Cara cepat tanpa login adalah menanyakan versinya ke server sendiri:

curl -s http://localhost:32400/identity

Hasilnya berupa XML pendek yang biasanya memuat atribut version. Bandingkan dengan 1.43.3.10861. Kalau perintah ini tidak menampilkan versi pada instalasi Anda, lihat nomor versi di pengaturan Plex atau pakai cara lain di bawah. Cara lain, tergantung instalasi:

dpkg -l plexmediaserver
docker compose images

Perintah pertama untuk instalasi paket Debian atau Ubuntu, yang kedua untuk melihat tag image jika Plex berjalan di Docker.

Langkah 2: update

Untuk instalasi dari repositori Plex di Debian atau Ubuntu:

sudo apt update
sudo apt install --only-upgrade plexmediaserver

Untuk Docker Compose:

docker compose pull
docker compose up -d

Ganti dengan nama layanan Plex Anda jika perlu. Setelah selesai, ulangi perintah curl di atas untuk memastikan versinya naik.

Langkah 3: cek tanda penyusupan

Penambang kripto biasanya terlihat dari pemakaian CPU yang tinggi terus-menerus. Cek proses dan koneksi keluar:

ps aux | grep -E 'mylovelyminer|myawesomeproxy|xmrig' | grep -v grep
top -o %CPU
sudo ss -tpn | head -n 30

Perhatikan: pelaku bisa saja memakai nama lain, jadi hasil kosong tidak menjamin aman. Yang lebih penting adalah proses yang tidak Anda kenal dan koneksi keluar ke alamat asing. Domain proxystream[.]st disebut dalam laporan sebagai server penambangan, jadi koneksi ke domain itu adalah tanda bahaya.

Berkas yang ditulis penyerang berada di direktori Codecs milik Plex (di Linux biasanya di bawah /var/lib/plexmediaserver/Library/Application Support/Plex Media Server/Codecs). Plex sendiri juga menyimpan codec sah di sana, jadi jangan menghapus berkas hanya karena baru. Kalau ada file yang tidak masuk akal dan ada proses mencurigakan, anggap server terdampak.

Kalau server terdampak

1. Hentikan Plex dan putus server dari internet.
2. Pasang ulang sistemnya dari awal atau pulihkan dari cadangan bersih. Penyerang sempat menjalankan kode di server, dan Anda tidak bisa memastikan semuanya terhapus dengan membersihkan manual.
3. Ganti kata sandi akun Plex dan cabut perangkat yang tidak dikenal dari akun.
4. Ganti kata sandi atau kunci lain yang tersimpan di server itu.

Cara memperkecil risiko ke depan

• Jangan membuka port 32400 langsung ke internet kecuali benar-benar perlu. Untuk akses jarak jauh, pertimbangkan VPN seperti WireGuard atau Tailscale.
• Jalankan Plex di Docker atau akun terpisah dengan hak minimum, bukan sebagai root.
• Aktifkan pembaruan otomatis atau jadwalkan cek versi rutin. Di kasus ini perbaikan sudah tersedia hampir dua setengah bulan sebelum serangan nyata.

Prinsipnya sama dengan kasus Nextcloud: layanan yang terbuka ke internet dan tidak diperbarui adalah sasaran empuk, dan server rumahan pun diincar.

Sumber

• The Hacker News: Hackers Exploit Plex2Shell Flaws to Install Crypto Miners and Linux Proxy Backdoor (19 Oktober 2026)
• CISA: Adds Six Known Exploited Vulnerabilities to Catalog (20 Oktober 2026)

Baca juga: Checklist Keamanan VPS Linux Baru (SSH, Firewall, Update).