Domáci mediálny server patrí k obľúbeným spôsobom, ako mať rodinné fotky, videá z dovoleniek či zbierku filmov stále po ruke – v televízore, v mobile aj na cestách. Najčastejšie beží na sieťovom úložisku (NAS) alebo na starom počítači v rohu obývačky. Práve takéto zariadenia sa v posledných dňoch stali terčom útočníkov. Séria zraniteľností v populárnom programe Plex Media Server, označovaná ako Plex2Shell, sa začala zneužívať približne deň po tom, ako bol zverejnený funkčný postup útoku.

Čo sa stalo

Štyri chyby v serverovej časti aplikácie boli spoločnosti Plex nahlásené 27. júla 2026. Plex ich začiatkom augusta potvrdil, vyplatil odmenu v rámci programu bug bounty a opravené verzie vydal ešte pred zverejnením podrobností. Začiatkom septembra potom vyzval majiteľov serverov, aby aktualizovali – podľa BleepingComputer dokonca rozposlal zákazníkom e-maily, čo robí len výnimočne.

Zlom nastal 16. októbra, keď výskumník Zach Main zverejnil technický rozbor aj ukážkový kód (proof-of-concept). Hneď na druhý deň zaznamenal iný výskumník na svojej „návnade“ – zámerne zraniteľnom serveri vystavenom na internete (honeypot) – prvé skutočné útoky. Útočníci na napadnutý server nahrali program na ťažbu kryptomien postavený na nástroji XMRig a neskôr aj program, ktorý zo zariadenia urobí uzol proxy siete, cez ktorý môže prúdiť cudzia internetová prevádzka.

Reťazec štyroch chýb (označených CVE-2026-96652, CVE-2026-96654, CVE-2026-96655 a CVE-2026-96656) umožňuje spustiť na serveri vystavenom do internetu ľubovoľný kód bez akéhokoľvek prihlásenia. Kód beží s oprávneniami, ktoré má samotná služba Plex.

Koľko serverov je ohrozených

Organizácia Shadowserver, ktorá monitoruje internet, začiatkom septembra napočítala viac ako 36 000 serverov Plex dostupných z internetu, ktoré ešte neboli aktualizované. Koľko z nich odvtedy majitelia opravili a koľko už bolo reálne napadnutých, zatiaľ nie je známe – pozorovania z honeypotu ukazujú len to, že útoky prebiehajú, nie ich rozsah.

Prečo sa to týka najmä majiteľov NAS

Plex je jedným z najčastejšie inštalovaných doplnkov na domácich a malých firemných NAS zariadeniach. Háčik je v tom, že balíčky v obchodoch s aplikáciami výrobcov NAS sa niekedy aktualizujú s oneskorením. Plex preto výslovne upozornil, že majitelia NAS nemusia novú verziu v správcovi balíčkov ešte vidieť a mali by ju nainštalovať ručne. Bezpečná je verzia Plex Media Server 1.43.3.10861 alebo novšia (zraniteľné sú verzie 1.43.2 a staršie), pre desktopovú aplikáciu verzia 1.115.0 a novšia. Rovnako to platí pre inštalácie v kontajneroch Docker či vo virtuálnych strojoch.

Čo to znamená pre bezpečnosť vašich dát

Ťažba kryptomien sa môže zdať ako „neškodný“ útok – nikto vám predsa nezmazal fotky. To je však nebezpečný omyl. Ak má útočník možnosť spúšťať na vašom zariadení vlastný kód, má prístup ku všetkému, k čomu má prístup služba Plex – a to býva práve vaša mediálna knižnica. Doteraz zverejnené pozorovania hovoria o ťažbe kryptomien a proxy programe; o šifrovaní alebo krádeži dát cez túto chybu zatiaľ správy nie sú. Nič však nebráni tomu, aby rovnakú cestu neskôr využil aj vyderačský softvér (ransomvér).

Ťažba kryptomien navyše znamená trvalú záťaž procesora a často aj diskov. Zariadenie sa viac zahrieva, ventilátory bežia naplno a v NAS-e s viacerými diskami to zvyšuje opotrebenie. Výskumník, ktorý útoky zachytil, upozornil aj na ďalšie riziko: servery Plex často bežia na domácich IP adresách, ktoré pôsobia dôveryhodne, takže útočníci by cez ne mohli skúšať pristupovať napríklad k firemným VPN či e-mailom a zakryť tak svoj pôvod.

Praktické rady

• Skontrolujte verziu priamo v nastaveniach Plexu, nie iba v obchode s aplikáciami NAS. Ak máte verziu 1.43.2 alebo staršiu, aktualizujte hneď, v prípade potreby ručne z oficiálnej stránky Plex.
• Nevystavujte NAS zbytočne do internetu. Ak vzdialený prístup nepotrebujete, vypnite presmerovanie portov na smerovači. Ak ho potrebujete, zvážte VPN.
• Aktualizujte aj samotný systém NAS – napríklad Synology vydal v septembri opravy kritických chýb v systéme DSM.
• Dodržujte pravidlo 3-2-1: tri kópie dát, na dvoch rôznych typoch médií, jedna mimo domu alebo firmy. NAS sám osebe nie je záloha – je to len ďalšie miesto, kde dáta ležia.
• Aspoň jednu zálohu majte odpojenú (externý disk, ktorý po zálohovaní odpojíte) alebo nemennú (immutable) v cloude, aby ju útočník z napadnutej siete nemohol zmeniť.

Varovné príznaky

• NAS je nezvyčajne hlučný, horúci alebo neustále pracuje, aj keď nič neprehrávate,
• v správcovi úloh vidíte neznáme procesy alebo vysoké vyťaženie procesora,
• internetové pripojenie je pomalé bez zjavného dôvodu,
• v knižnici pribudli súbory s neznámymi príponami alebo sa súbory nedajú otvoriť.

Čo nerobiť, ak máte podozrenie na útok

Zariadenie odpojte od siete, ale neformátujte disky a nespúšťajte „rýchle opravy“ ani reinštaláciu systému. Ak sú dáta zašifrované alebo poškodené, každý zápis na disk môže prepísať práve tie bloky, z ktorých by sa dali obnoviť. Rovnako neskúšajte prestavovať RAID pole či vymieňať disky naslepo – nesprávne poradie diskov alebo spustená obnova poľa dokáže zo zachrániteľnej situácie urobiť nezachrániteľnú.

Záver

Prípad Plex2Shell ukazuje, ako rýchlo sa dnes chyba mení na útok: oprava bola dostupná ešte pred zverejnením podrobností, no tisíce serverov zostali neaktualizované a útočníci začali konať do jedného dňa po zverejnení návodu. Pre domácnosti aj malé firmy je to pripomienka, že zariadenie s cennými spomienkami alebo firemnými dokumentmi si zaslúži rovnakú starostlivosť ako počítač.

Ak už k strate alebo poškodeniu dát došlo – či už po útoku, alebo po poruche NAS-u či disku – obráťte sa na odborníkov na www.zachranaudajov.sk. Neskúšajte svojpomocné opravy, ktoré môžu poškodenie ešte zhoršiť.

Zdroj: SecurityWeek: Plex2Shell – zneužívanie serverov Plex po zverejnení exploitu; doplnkovo Security Affairs a BleepingComputer.