plex2shell_pcap

artefactos pcap para la explotación de plex2shell

A partir del 17 de octubre de 2026, esto se está explotando en la naturaleza, pero los pcaps cuyo nombre contiene "lab" son de pruebas de laboratorio.

sobre la explotación en la naturaleza: https://www.boredhackerblog.info/2026/10/plex-vulnerabilities-being-exploited-in.html

Información: https://zmain.info/blog/plex2shell

CVE asociados:

• CVE-2026-96652
• CVE-2026-96654
• CVE-2026-96655
• CVE-2026-96656

Exploit/POC: https://github.com/code-zm/plex2shell

Destino: Imagen de Docker: linuxserver/plex:1.42.2 10.98.178.40

Atacante: 10.98.178.28

docker-compose.yml objetivo:

---
services:
  plex:
    image: linuxserver/plex:1.42.2
    container_name: plex
    network_mode: host
    environment:
      - PUID=1000
      - PGID=1000
      - TZ=Etc/UTC
      - VERSION=docker
    volumes:
      - ./plex/library:/config
      - ./tvseries:/tv
      - ./movies:/movies
    restart: unless-stopped

pcaps:

• plex2shell_lab_filtered.pcap - shell inversa interactiva
• plex2shell_lab_one_shot_filtered.pcap - id y hostname de un solo disparo, creo
• plex2shell_lab_one_shot_2_filtered.pcap - id, hostname y cat passwd de un solo disparo, si mal no recuerdo

No creo que --exec o interactivo importen demasiado para la parte de detección.

del código del exploit, estos puertos y el dominio que se usan siempre se pueden modificar (junto con muchas otras cosas como los nombres de archivo, etc., obviamente...):

    attacker_host = "127.0.0.1.%s.sslip.io" % args.attacker_ip.replace(".", "-")
    token_port, carrier_port, lport = 8952, 8933, 9001

Capturas de pantalla:

Árbol de procesos (de mí ejecutando sleep mediante la shell inversa interactiva)

Capturas de pantalla de wireshark: