Los servidores de Plex que llevan meses sin actualizar se han convertido en el blanco de una nueva oleada de ataques. Los hackers distribuyen el malware Plex2Shell para aprovechar una vulnerabilidad corregida en agosto e instalar criptomineros que consumen los recursos del equipo sin que el propietario lo note. La vulnerabilidad se hizo pública hace unos días, pero muchas instalaciones siguen expuestas.
El problema de los equipos que funcionan bajo la filosofía de «lo configuro y me olvido» es que, en algún momento, necesitan mantenimiento. Es justo lo que ha ocurrido con Plex: muchos servidores llevan sin tocarse desde agosto, y los atacantes lo saben. El fallo que explotan, descubierto meses atrás y ya corregido por los desarrolladores, sigue abierto en todas las instalaciones que nunca llegaron a aplicar el parche, y eso es lo que Plex2Shell aprovecha para colarse.
Qué es Plex2Shell y cómo vulnera Plex
Plex2Shell no busca robar vuestros archivos ni cifrarlos para pedir un rescate. Su objetivo es más discreto y, a la vez, más persistente: instalar software de minería de criptomonedas que aprovecha la potencia de la CPU del servidor infectado para generar beneficios al atacante sin que la víctima lo perciba de inmediato.
Para quien administra el servidor, las consecuencias van más allá del simple robo de recursos: un procesador trabajando al límite de forma constante podría traducirse en sobrecalentamiento, desgaste prematuro del hardware y una ralentización notable de Plex y de cualquier otro servicio que conviva en la misma máquina, desde un NAS compartido hasta un contenedor Docker vecino. Al tratarse en muchos casos de servidores expuestos directamente a internet, resultan además más fáciles de localizar para quienes buscan instalaciones desactualizadas que explotar.
Los sistemas más expuestos y la versión que corrige el fallo
El perfil de riesgo más alto combina dos factores: un servidor expuesto a internet y una instalación que lleva tiempo sin actualizarse. El propio aviso que circuló en la comunidad pedía explícitamente revisar equipos que ejecutasen versiones antiguas de Plex, especialmente en Linux o en Docker, lo que sitúa a estos entornos como los más representados entre los casos reportados hasta ahora. Esto no descarta que otras plataformas corran el mismo riesgo si tampoco allí se aplica el parche.
Plex2Shell no depende de un único fallo: el informe que destapó el problema identifica cuatro exploits distintos que el malware puede emplear para ejecutar código de forma remota, aunque solo uno de ellos aparece ligado de forma directa a la versión 1.43.3.10861. Actualizar a esa versión, o a cualquier posterior, cierra la vía de entrada documentada hasta ahora, pero como el malware recurre a varios vectores distintos, mantener el software al día sigue siendo la única garantía real frente a nuevas variantes del ataque.
Tres meses de silencio desde el parche de agosto
El calendario de este fallo deja ver un margen de tiempo en el que los ataques pudieron seguir produciéndose casi sin ruido. El problema se reportó a Plex a finales de julio de 2026, lo que dio a la compañía margen para trabajar en una solución, y el parche llegó el 4 de agosto de 2026, cerrando la puerta a quienes actualizaron entonces.
Sin embargo, el exploit no se hizo público de forma generalizada hasta el 16 de octubre de 2026, más de dos meses después del parche. Esa demora en la divulgación ha dejado a muchos administradores sin saber que su servidor era vulnerable, y ha dado tiempo de sobra a los atacantes para seguir infectando máquinas. La alerta terminó saltando gracias al trabajo de BoredHackerBlog, que montó un honeypot (una trampa diseñada para atraer a los hackers) con Plex, detectó el patrón de infecciones y acudió a Reddit para comprobar si otros usuarios estaban sufriendo lo mismo. La respuesta no tardó: decenas de personas confirmaron haber encontrado los mismos indicios en sus propios servidores.
Señales que delatan un servidor Plex infectado
Para saber si vuestro servidor ha caído en la trampa, hay que revisar manualmente los procesos activos. En sistemas Linux, el comando ps axjf muestra el árbol de procesos completo y permite comprobar si Plex Media Server ha lanzado algún proceso hijo que no debería estar ahí. Los nombres a vigilar son myawesomeproxy, mylovelyminer o x12345, además de cualquier ejecución de wget o curl que descargue un script desde una IP desconocida y sin relación con Plex. La señal más clara suele ser que el propio proceso de Plex Media Server aparezca como padre de otro proceso ajeno a la instalación habitual, lo que delata la inyección del minero dentro del árbol de ejecución.
También conviene fijarse en los parámetros con los que se lanzan esos procesos sospechosos. Si aparecen argumentos como –rig-id, –donate-level o referencias al dominio proxystream[.]st, es prácticamente seguro que el equipo está minando criptomonedas para un tercero: son configuraciones típicas de los pools de minería y no tienen ninguna razón para aparecer en el funcionamiento normal de un servidor multimedia.
Cómo blindar vuestro servidor Plex frente a Plex2Shell
La medida prioritaria, y la que no admite demora, es actualizar Plex Media Server a la versión 1.43.3.10861 o a cualquiera posterior. Si vuestro servidor lleva meses o años sin tocarse, es muy probable que siga siendo vulnerable a este fallo y a otros que se hayan corregido entretanto. El proceso varía según si lo tenéis en Docker, en Linux nativo o en un NAS, pero en todos los casos pasa por descargar el paquete oficial más reciente y reiniciar el servicio.
Conviene además repasar la configuración de red: si no necesitáis acceder a vuestro Plex desde fuera de casa, desactivar el acceso remoto reduce la superficie de ataque expuesta. Si ya habéis encontrado alguno de los indicios de infección, actualizar cierra la puerta de entrada, pero no borra automáticamente el minero si ya estaba instalado: en ese caso conviene auditar el sistema, eliminar los procesos maliciosos y, si la infección parece profunda, valorar reinstalar el sistema operativo para aseguraros de que no queda ningún rastro.