据 Ars Technica 10 月 19 日报道，Plex Media Server 近期修复的漏洞正在遭到在野利用。一名研究员称，攻击一旦成功，会在设备上安装恶意软件，其中包括加密货币挖矿程序和住宅代理软件。10 月 20 日，美国网络安全和基础设施安全局（CISA）表示，已基于在野利用证据向已知被利用漏洞（KEV）目录新增 6 个漏洞，其中 4 个属于 Plex Media Server。
Ars Technica 写道，Plex 在上个月初修复了 4 个漏洞；三周后公布的 CVE 编号显示共有 5 个漏洞，其中一个严重程度评分为 8.6（满分 10）。上周，一名研究员公开了把其中 4 个漏洞串联起来的利用链，可对运行受影响版本的设备实现远程代码执行，并将其命名为 Plex2Shell。
这条公开的利用链，是该研究员向 Plex 提交漏洞报告时附上的概念验证的一部分。Ars Technica 称，相关代码会依次完成未经认证的服务器端请求伪造（SSRF）、回环跳转、窃取安全令牌、投递载荷和执行载荷。
发现者称自己「大量」使用 AI 来开发这条利用链，并写道，这并不是吩咐大语言模型「去黑掉 Plex」。他表示，其间有数小时的迭代、死胡同和优先级调整；所有关于找什么、优先什么的判断都由他本人做出。大语言模型显著加快了这一过程，让他可以留在更高层面引导工作。
利用细节公开后，另一名研究员架设蜜罐，用来跟踪针对这条漏洞链的在野尝试。Ars Technica 报道，一天之内就开始出现对模拟 Plex 服务器的主动扫描，随后有感染设备的成功尝试。
到报道刊出时，成功攻击安装的载荷有两种。一种是加密货币挖矿程序，占用设备挖矿，并把收益存进攻击者控制的钱包。另一种是住宅代理软件，让他人连上被感染设备，再经由它把流量送到最终目的地，用来匿名化上网活动。Ars Technica 称，这类活动里有不少是非法的。
该研究员写道，Plex 可能部署在住宅 IP 上，他认为威胁行为者会想借助住宅 IP 代理去访问企业 VPN 和邮箱。
CISA 10 月 20 日的通告称，新增的 6 个 KEV 条目为：
通告写道，这类漏洞是恶意网络行为者的常见攻击途径，给联邦机构带来重大风险。约束性操作指令 BOD 26-04 仅适用于联邦民事行政部门（FCEB）机构，要求这些机构优先、快速修复 KEV 目录中、公开暴露且利用后可完全控制资产的高风险漏洞，并就补丁适用前系统是否已被入侵设定基本核查要求。CISA 表示，该指令虽只约束 FCEB 机构，但仍鼓励所有组织优先修复 KEV 目录中的漏洞。
Ars Technica 建议正在使用 Plex 的人确认运行的是 1.43.3 版本。软件可设置为自动安装更新，也可以手动下载安装；鉴于已有在野利用，过时版本应马上更新。
报道称，最安全的做法是只允许局域网访问、不暴露到互联网，不过这会无法使用许多功能。设备若要连上公网，可以把流量交给反向代理，而不使用默认的 32400 端口；还应只使用安全的 Plex 应用，并设置强密码。Ars Technica 称，Plex 方面没有立即回应提问。
