بدأت جهات تهديد إلكتروني في استغلال سلسلة ثغرات أمنية في خوادم Plex Media Server لنشر برمجيات تعدين العملات المشفرة وتثبيت برامج وكيل عكسي خفية على أنظمة لينكس، وذلك بعد يوم واحد فقط من نشر نموذج إثبات المفهوم العلني للهجوم المعروف باسم Plex2Shell.
وبحسب باحث أمني يُعرف باسم “boredhackerblog”، فإن الهجمات تعتمد على ربط أربع ثغرات مختلفة ضمن سلسلة استغلال متكاملة تحمل اسم Plex2Shell، ما يتيح للمهاجمين في نهاية المطاف تنفيذ تعليمات برمجية عن بُعد دون الحاجة إلى مصادقة مسبقة على الأنظمة المعرضة للخطر.
سلسلة Plex2Shell تفتح باب التنفيذ عن بُعد
تعتمد السلسلة الهجومية على أربع ثغرات متتابعة، لكل منها دور محدد في الوصول النهائي إلى تنفيذ التعليمات البرمجية عن بُعد.
الثغرة الأولى، المسجلة تحت المعرف CVE-2026-96652، ترتبط بخلل من نوع تزوير الطلبات من جانب الخادم (SSRF)، حيث تتيح للمهاجم إجبار خادم Plex على إرسال طلبات إلى وجهات يختارها بنفسه بسبب غياب التحقق من أحد المعلمات المستخدمة في بناء عناوين URL الخاصة بالمشغلات.
أما الثغرة الثانية CVE-2026-96654 فتسمح للمهاجم باستغلال معالجة غير آمنة لقيم URL داخل نقطة النهاية المسماة “searchOne”، بما يمكنه من استدعاء وظائف إضافية داخل النظام والحصول على رمز الإدارة الخاص بمالك الخادم.
بعد ذلك تأتي الثغرة الثالثة CVE-2026-96655، وهي ثغرة SSRF إضافية تتيح للمهاجم، بعد الحصول على صلاحيات المالك، الوصول إلى عناوين داخلية أو خارجية عشوائية وتحميل ملفات ضارة مستضافة على خوادم يسيطر عليها.
أما الثغرة الرابعة والأخطر CVE-2026-96656، فتسمح بالتحكم في مسارات وأسماء الملفات داخل مكونات الترميز البرمجي لخادم Plex، ما يتيح كتابة ملف تنفيذي ضار وتشغيله مباشرة على النظام المستهدف.
وعند دمج هذه الثغرات بالترتيب الصحيح، يصبح بالإمكان تحقيق تنفيذ برمجيات عن بُعد على خوادم Plex دون الحاجة إلى أي بيانات اعتماد أو حسابات مستخدمين، وهو ما يجعل سلسلة Plex2Shell من أخطر سلاسل الاستغلال التي استهدفت المنصة خلال الفترة الأخيرة.
إصلاحات مبكرة لكن الهجمات بدأت سريعًا
كان الباحث الأمني Zach Main قد أبلغ شركة Plex بهذه الثغرات في 27 يوليو 2026، إلى جانب الثغرة الإضافية CVE-2026-96651، قبل أن تصدر الشركة تحديثًا أمنيًا لمعالجتها ضمن الإصدار Plex Media Server 1.43.3.10861 الذي أُطلق في 3 أغسطس 2026.
إلا أن الوضع تغيّر بسرعة بعد نشر التفاصيل التقنية الكاملة لسلسلة Plex2Shell في 16 أكتوبر 2026، إذ رُصدت محاولات استغلال فعلية في اليوم التالي مباشرة، في مؤشر واضح على أن المهاجمين تابعوا الكشف العلني واستفادوا منه بسرعة لاستهداف الأنظمة غير المحدثة.
وتعكس هذه التطورات نمطًا متكررًا في مشهد الأمن السيبراني، حيث تتحول الأدوات البحثية ونماذج إثبات المفهوم خلال ساعات أو أيام قليلة إلى أسلحة فعلية تستخدمها مجموعات إجرامية ضد المؤسسات والأفراد الذين يتأخرون في تثبيت التصحيحات الأمنية.
تعدين العملات المشفرة وباب خلفي خفي
أظهرت التحليلات أن المهاجمين يستخدمون نصوصًا برمجية Shell Script لتحميل برنامج تعدين للعملات المشفرة يحمل الاسم x12345 من خادم بعيد، مستفيدين من أدوات شائعة مثل wget وcurl لتنفيذ عملية التنزيل والتشغيل.
ورُصدت محاولات الهجوم من عدة عناوين إنترنت مختلفة، ما يشير إلى وجود حملة نشطة تستهدف أكبر عدد ممكن من الخوادم المكشوفة على الإنترنت.
كما اكتشف الباحثون أن الهجمات لا تقتصر على التعدين فقط، بل تتضمن أيضًا تنزيل ملف يحمل اسم myawesomeproxy، وهو برنامج يوصف بأنه باب خلفي متخفي يعمل على أنظمة لينكس إلى جانب وظيفة الوكيل العكسي Reverse Proxy.
ويثير هذا التطور مخاوف إضافية لأن الوكلاء العكسيين الخفيين لا يهدفون فقط إلى استغلال موارد الجهاز المصاب، وإنما يمكن استخدامهم كنقاط عبور لحركة البيانات أو لإخفاء أنشطة إجرامية أخرى عبر الضحية نفسها.
ووفقًا للتحليل المتوفر، فإن البرنامج يعرض عند تشغيله رسالة تفيد ضمنيًا بأن استخدامه يعني الموافقة على إمكانية الاستفادة من حركة الإنترنت الخاصة بالجهاز من قبل أطراف خارجية، وهي صياغة يراها الباحثون محاولة لإضفاء مظهر شرعي على نشاط مشبوه بطبيعته.
ارتباطات محتملة ببنية بوت نت معروفة
بالتوازي مع تثبيت الوكيل الخفي، تُظهر المؤشرات أن المهاجمين ينشرون أيضًا نسخة من برنامج التعدين XMRig تحت اسم mylovelyminer.
وتشير بيانات التحليل إلى أن خادم التعدين المرتبط بهذه الحملة يستخدم النطاق ota.proxystream.st. واللافت أن نطاقًا فرعيًا آخر مرتبطًا بالبنية نفسها، وهو global.relay.proxystream.st، سبق أن أشارت إليه شركة Bitsight خلال أغسطس 2026 في سياق أنشطة مرتبطة بشبكة AISURU للبوت نت والمتخصصة في هجمات حجب الخدمة الموزعة DDoS وخدمات الوكلاء الخفية.
كما أظهرت منشورات على منصة Reddit أن عددًا من مستخدمي Plex أبلغوا عن تعرض خوادمهم للاختراق باستخدام الحمولة البرمجية نفسها المسماة mylovelyminer، رغم أنه لم يُثبت حتى الآن بشكل قاطع أن جميع تلك الحوادث ناتجة مباشرة عن استغلال سلسلة Plex2Shell.
وتأتي هذه التطورات بعد أكثر من شهر من تحذير شركة Plex لمستخدميها بضرورة تحديث خوادمهم فورًا عقب إصدار تصحيحات لمعالجة مجموعة من الثغرات الأمنية غير المعلن عن تفاصيلها آنذاك. ولا يزال من غير الواضح ما إذا كانت الثغرات الحالية جزءًا من تلك التحذيرات السابقة، إلا أن نشاط الاستغلال الجاري يعزز أهمية التحديث الفوري لجميع خوادم Plex لضمان الحماية من الهجمات النشطة.
