เซิร์ฟเวอร์ Plex ของคุณอาจขุดคริปโตให้แฮกเกอร์
ผู้ใช้งาน Plex Media Server ควรรีบตรวจสอบและอัปเดตระบบโดยเร็ว เพราะช่องโหว่ร้ายแรงอาจเปิดทางให้แฮกเกอร์เข้าควบคุมเซิร์ฟเวอร์จากระยะไกลโดยไม่ต้องมีชื่อผู้ใช้หรือรหัสผ่านที่ถูกต้อง รายงานล่าสุดพบว่า ผู้โจมตีไม่ได้หยุดอยู่แค่การเข้าถึงเครื่องเท่านั้น แต่ยังติดตั้งโปรแกรมขุดคริปโตและซอฟต์แวร์พร็อกซีที่ใช้แอบส่งต่อทราฟฟิกอินเทอร์เน็ตผ่านเครือข่ายบ้านของเหยื่อด้วย
พูดให้เข้าใจง่ายคือ เซิร์ฟเวอร์ Plex ของคุณอาจขุดคริปโตให้แฮกเกอร์ โดยที่คุณไม่รู้ตัว เครื่องอาจทำงานหนัก อินเทอร์เน็ตช้าลง ค่าไฟเพิ่มขึ้น และถูกนำไปใช้เป็นทางผ่านเพื่อปกปิดตัวตนของอาชญากรไซเบอร์
เซิร์ฟเวอร์ Plex ของคุณอาจขุดคริปโตให้แฮกเกอร์
ช่องโหว่ที่ถูกเรียกว่า Plex2Shell เป็นการโจมตีต่อเนื่องหลายขั้นตอน ซึ่งเปิดโอกาสให้ผู้โจมตีที่ไม่ได้เข้าสู่ระบบสามารถขโมยโทเคนผู้ดูแลระบบ จากนั้นวางไฟล์อันตรายไว้ในเครื่อง เมื่อ Plex ทำการแปลงไฟล์วิดีโอ ไฟล์ดังกล่าวก็สามารถทำงานและติดตั้งเพย์โหลดเพิ่มเติมได้
ช่องโหว่นี้เกี่ยวข้องกับหมายเลข CVE-2026-96652, CVE-2026-96654, CVE-2026-96655 และ CVE-2026-96656 โดยเซิร์ฟเวอร์ที่ใช้ Plex Media Server เวอร์ชันก่อน 1.43.3.10861 ถือว่าอยู่ในกลุ่มที่ควรตรวจสอบอย่างเร่งด่วน Plex ได้ออกเวอร์ชันแก้ไขแล้ว และแนะนำให้เจ้าของเซิร์ฟเวอร์อัปเดตเป็นรุ่นล่าสุด
เซิร์ฟเวอร์ Plex ของคุณอาจขุดคริปโตให้แฮกเกอร์ได้อย่างไร
นักวิจัยด้านความปลอดภัยที่ใช้ชื่อออนไลน์ว่า ZM เป็นผู้ค้นพบช่องโหว่ดังกล่าว และรายงานต่อ Plex เมื่อวันที่ 27 กรกฎาคม บริษัทรับทราบปัญหาและเผยแพร่บิลด์ที่แก้ไขในวันที่ 4 สิงหาคม พร้อมมอบเงินรางวัลบั๊กบาวน์ตี 500 ดอลลาร์สหรัฐ แม้ช่องโหว่จะมีความรุนแรงสูงจนผู้เชี่ยวชาญบางส่วนมองว่ารางวัลอาจน้อยเกินไป
หลังรายละเอียดทางเทคนิคและโค้ดพิสูจน์แนวคิดถูกเผยแพร่ ผู้ดูแลบล็อกด้านความปลอดภัยรายหนึ่งได้นำเซิร์ฟเวอร์ Plex รุ่นเก่ามาตั้งเป็นฮันนีพอต เพื่อสังเกตการโจมตีในโลกจริง ผลที่พบคือแฮกเกอร์เริ่มติดตั้งโปรแกรมขุดเหรียญคริปโต ต่อมาได้ติดตั้งเครื่องมือชื่อ myawesomeproxy ซึ่งสามารถเปลี่ยนเซิร์ฟเวอร์ให้เป็น residential proxy หรือพร็อกซีที่ใช้ไอพีบ้านของเหยื่อ
การทำงานลักษณะนี้มีความเสี่ยงมาก เพราะผู้โจมตีรายอื่นอาจเช่าหรือใช้พร็อกซีดังกล่าวเพื่อส่งทราฟฟิกไปยังเว็บไซต์ บริการ หรือเป้าหมายอื่น ทำให้กิจกรรมที่เป็นอันตรายดูเหมือนมาจากเครือข่ายบ้านทั่วไป ขณะเดียวกันเจ้าของเครื่องอาจถูกตรวจสอบหรือถูกเชื่อมโยงกับกิจกรรมที่ตนเองไม่ได้ทำ
ทำไมการลบตัวขุดคริปโตเพียงอย่างเดียวจึงไม่พอ
ผู้เชี่ยวชาญด้านความปลอดภัยเตือนว่า เพย์โหลดอาจถูกเก็บไว้ในโฟลเดอร์ Codecs ของ Plex และสามารถกลับมาทำงานอีกครั้งทุกครั้งที่มีการแปลงไฟล์วิดีโอ ดังนั้นการหยุดโปรแกรมขุดคริปโตหรือการรีสตาร์ตเครื่องอาจไม่สามารถกำจัดต้นเหตุได้ หากไฟล์อันตรายยังคงอยู่ในระบบ
เจ้าของเซิร์ฟเวอร์ควรถือว่าระบบที่มีช่องโหว่อาจถูกบุกรุกแล้ว ไม่ใช่เพียงระบบที่ยังมีความเสี่ยงเท่านั้น การอัปเดตซอฟต์แวร์เป็นขั้นตอนสำคัญ แต่ควรตรวจสอบไฟล์ผิดปกติ กระบวนการที่ใช้ทรัพยากรสูง งานตั้งเวลา บัญชีผู้ใช้ และการเชื่อมต่อเครือข่ายร่วมด้วย หากไม่มั่นใจ ควรสำรองข้อมูลที่จำเป็น ติดตั้ง Plex ใหม่จากแหล่งทางการ และเปลี่ยนรหัสผ่านรวมถึงโทเคนที่เกี่ยวข้อง
วิธีป้องกันเซิร์ฟเวอร์ Plex จากการถูกโจมตี
- อัปเดต Plex Media Server: ติดตั้งเวอร์ชัน 1.43.3.10861 หรือรุ่นใหม่กว่าจากเว็บไซต์หรือช่องทางแพ็กเกจที่เชื่อถือได้
- ตรวจสอบการเข้าถึงจากอินเทอร์เน็ต: ปิดการเปิดพอร์ตที่ไม่จำเป็น และใช้ไฟร์วอลล์หรือ VPN เพื่อจำกัดผู้ที่สามารถเชื่อมต่อได้
- ตรวจสอบประสิทธิภาพเครื่อง: หากซีพียูทำงานเต็มต่อเนื่อง พัดลมหมุนแรง หรืออินเทอร์เน็ตถูกใช้งานผิดปกติ อาจเป็นสัญญาณของมัลแวร์หรือโปรแกรมขุดคริปโต
- ตรวจสอบโฟลเดอร์และโปรเซส: มองหาไฟล์ที่ไม่รู้จัก โดยเฉพาะในโฟลเดอร์ Codecs และตรวจสอบโปรแกรมที่เริ่มทำงานพร้อมระบบ
- เปลี่ยนข้อมูลสำคัญ: หลังอัปเดตควรพิจารณาเปลี่ยนรหัสผ่านบัญชี Plex และยกเลิกเซสชันหรือโทเคนที่ไม่จำเป็น
- อัปเดตระบบปฏิบัติการ: เซิร์ฟเวอร์อาจมีช่องโหว่อื่นใน Linux, Windows, NAS, Docker หรือส่วนประกอบเสริม จึงควรอัปเดตทุกชั้นของระบบ
ข้อมูลจาก Shadowserver ระบุว่ายังมีเซิร์ฟเวอร์ Plex ที่เข้าข่ายมีช่องโหว่เกือบ 49,000 เครื่อง โดยกระจายอยู่ในอเมริกาเหนือและยุโรปจำนวนมาก ตัวเลขนี้สะท้อนว่าการปล่อยให้เซิร์ฟเวอร์ทำงานอยู่เบื้องหลังโดยไม่ตรวจสอบเป็นเวลานาน อาจเพิ่มความเสี่ยงโดยไม่รู้ตัว
Plex เคยพบเหตุการณ์ด้านความปลอดภัยมาแล้วหลายครั้ง รวมถึงเหตุการณ์ที่เกี่ยวข้องกับข้อมูลบัญชีผู้ใช้และช่องโหว่ในซอฟต์แวร์รุ่นก่อนหน้า เหตุการณ์เหล่านี้แสดงให้เห็นว่าเซิร์ฟเวอร์สื่อภายในบ้านไม่ควรถูกมองว่าเป็นอุปกรณ์ที่ไม่มีความสำคัญ เพราะเมื่อเปิดให้เข้าถึงจากอินเทอร์เน็ต เครื่องดังกล่าวจะมีความเสี่ยงใกล้เคียงกับเซิร์ฟเวอร์ประเภทอื่น
หากคุณใช้งาน Plex อยู่ตอนนี้ อย่ารอให้เห็นอาการผิดปกติก่อนจึงค่อยลงมือ ตรวจสอบเวอร์ชัน ปิดช่องทางเข้าถึงที่ไม่จำเป็น และสแกนระบบอย่างละเอียดทันที เพราะ เซิร์ฟเวอร์ Plex ของคุณอาจขุดคริปโตให้แฮกเกอร์ หรือถูกใช้เป็นพร็อกซีโดยที่คุณไม่ทราบ การอัปเดตวันนี้ใช้เวลาไม่นาน แต่ช่วยลดความเสียหายที่อาจเกิดขึ้นกับข้อมูล เครือข่าย และอุปกรณ์อื่นในบ้านได้อย่างมาก