Mucha gente tiene en casa un pequeño servidor multimedia: un ordenador viejo, un NAS o una Raspberry Pi que guarda películas, series y música y las envía a la tele, al móvil o a cualquier dispositivo, incluso fuera de casa. Plex Media Server es uno de los programas más usados para esto. Y desde el 17 de octubre de 2026 hay atacantes que buscan instalaciones sin actualizar para colarse en ellas, según han contado Ars Technica y SecurityWeek.

Lo llamativo es que el arreglo existe desde hace semanas. El problema son los servidores que nadie ha actualizado, que suelen ser muchos en algo que se instala una vez y se olvida en un rincón.

Cómo funciona el ataque por dentro

El ataque se conoce como Plex2Shell y no se apoya en un solo fallo, sino en cuatro (CVE-2026-96652, CVE-2026-96654, CVE-2026-96655 y CVE-2026-96656) usados en cadena. Cada uno por separado hace poco daño. Juntos permiten ejecutar código en el servidor sin tener usuario ni contraseña. Así lo describen las fuentes, paso a paso:

• La puerta de entrada. Un fallo de tipo SSRF (server-side request forgery) en una función que lleva la cuenta de por dónde va la reproducción. Basta con enviar un token cualquiera, aunque no sea válido, para que el servidor haga peticiones en nombre del atacante.
• El salto al interior. Con esas peticiones, el atacante llega a funciones internas que solo deberían escuchar dentro de la propia máquina (la interfaz de loopback).
• El robo de la llave maestra. Desde ahí consigue el token de administración del dueño del servidor.
• La ejecución. Con ese token cambia las preferencias del transcodificador, el componente que convierte los vídeos al vuelo, y deja archivos maliciosos en la carpeta de códecs. Cuando el transcodificador arranca, los ejecuta con los permisos del propio servicio.

Es un ejemplo de manual de cómo se encadenan vulnerabilidades: ninguna da acceso total por sí sola, pero cada una abre la puerta a la siguiente.

Del parche al ataque en un día

La cronología explica por qué ha ido tan rápido. Según SecurityWeek, un investigador avisó a Plex el 27 de julio. La empresa confirmó los fallos el 4 de agosto y le pagó una recompensa. El 1 de septiembre publicó la corrección y pidió a los usuarios que actualizaran; Cord Cutters News añade que también mandó correos a quien usaba la versión 1.43.2 o anteriores.

El 16 de octubre, el investigador publicó los detalles técnicos y un código de prueba que funcionaba. Al día siguiente, otro investigador que mantenía un servidor señuelo (un honeypot) ya registró ataques reales. Según su análisis, los atacantes usaron el código publicado, quizá con algún retoque. Es la carrera de siempre: cuando se publica el cómo, los que no han parcheado se convierten en blanco fácil.

Qué meten en tu máquina

En los ataques observados se instalaron dos cosas:

• Un minero de criptomonedas basado en XMRig, que usa tu procesador (y tu factura de la luz) para ganar dinero para otros.
• Un proxy llamado myawesomeproxy, que deja a terceros sacar tráfico de internet por tu conexión. Así parece que vienen de una casa normal, algo muy útil para esconder otras actividades. SecurityWeek apunta que ese acceso con IP residencial puede servir, por ejemplo, para entrar en VPN y correos de empresas.

Cord Cutters News recoge además nombres de procesos que delatan la infección: myawesomeproxy, mylovelyminer o x12345.

Qué tienes que hacer

La medida principal es sencilla: actualizar Plex Media Server a la versión 1.43.3.10861 o posterior, que es la que corrige la cadena según Cord Cutters News. Plex ha recomendado a todos los dueños de servidores instalar la última versión cuanto antes. Además, las fuentes aconsejan:

• Desactivar el acceso remoto si no lo usas para ver contenido fuera de casa.
• No dejar abierto a internet el puerto 32400 si no hace falta y, si se puede, poner el servidor en una red separada.
• Mirar la carpeta de códecs por si hay archivos que no reconoces y revisar si el servicio ha lanzado procesos raros.
• Si hay señales de que te han entrado, plantearse reinstalar el sistema entero. Actualizar ya no echa a un intruso que está dentro.

La letra pequeña: actualizar cierra la puerta, pero no limpia lo que ya hayan instalado. Si tu servidor estuvo expuesto con una versión antigua desde mediados de octubre, merece la pena revisarlo.

Por qué importa

Cada vez tenemos más servidores domésticos: centros multimedia, NAS, domótica. Funcionan tan bien que nos olvidamos de ellos, y eso los convierte en el blanco perfecto. Este caso muestra que el riesgo no está solo en los fallos desconocidos. También está en los que ya tienen arreglo y nadie instala. Activar las actualizaciones automáticas y no abrir a internet lo que no hace falta sigue siendo la mejor defensa, y la más barata.