家里的 Plex 该打补丁了，扫描器不会等你
Plex 媒体服务器四个漏洞被串成一条免登录攻击链，公开利用代码出现不到一天就有人中招。本文说清攻击怎么走、怎么查版本、中了招为什么不能只打补丁了事。
放在客厅角落那台下载机，可能正在替别人挖矿。Plex 用户最近该做的第一件事不是换新硬盘，是查版本号。
一、发生了什么
Plex 媒体服务器被安全研究者串出一条利用链，圈内叫 Plex2Shell。它由四个漏洞拼成，编号都在 2026 年 96652 到 96656 这一段里，组合起来能让攻击者不需要任何账号密码，就在服务器上执行自己的代码。研究者 10 月 16 日公开了技术细节和可用的验证代码，第二天就有蜜罐服务器被真实攻击打中，装上了挖矿程序和一个代理工具。前者占用你的处理器算门罗币，后者把你家的宽带变成别人转流量的出口。
补丁其实早就有了。Plex 在 7 月底收到报告，8 月初发出修复版本 1.43.3.10861，9 月初还向受影响用户发了提醒邮件。但据扫描机构 9 月 9 日的数据，互联网上约 30 万台暴露的 Plex 服务器里，还有超过 3.6 万台停在旧版本。补丁躺了两个多月，攻击只用了一天。
攻击链怎么走，也值得说一遍：第一步借时间线接口的一个请求伪造漏洞，让服务器去访问原本只有内部能碰的功能；第二步骗出管理员的访问令牌；第三步把一个恶意文件写进插件目录；最后趁服务器转码时把这个文件加载运行。四步串起来，从头到尾不需要登录。研究者还观察到，蜜罐被攻破的前提是目标能对外连接——木马要回连取载荷，这也解释了为什么关掉出站访问同样重要。
二、跟你有什么关系
家里跑 Plex、 Jellyfin 这类自建服务，又在路由器上做了端口转发的人：你的设备对全网可见，风险等同于一台生产服务器。装在 NAS 上的人：存储厂商的应用商店更新常常滞后，Plex 官方建议手动装新包。只是内网看看、从不开放外网的人：攻击面很小，保持更新即可。
三、怎么用
读到这儿，可以顺路看 之前没人攻成的 PHP 漏洞，这次连美国政府关联防火墙都沦陷了 安全公司 Dream 披露首例 PHP2Shell 实际入侵：攻击者组合两个漏洞，15 分钟内拿到防火墙最高权限，25 台服务器沦陷，其中含美国政府关联机构。暴露在公网的管理接口是最大软肋。- 打开 Plex 网页端，进设置里的常规或诊断页，看版本号。低于 1.43.3.10861 就升级，官方下载页有安装包。
- 没有远程访问需求的，直接在设置里关掉远程访问功能，路由器也别再转发那个默认端口。少一个暴露面，少一排扫描器。
- 担心中过招的，按官方说法别试图原地清理：停服务、重装一套干净系统、换掉旧数据目录，然后在所有设备上退出账号并改密码。排查线索包括 Plex 进程派生出的陌生子进程、Codecs 目录里来历不明的库文件，以及没在看片时处理器占用却居高不下。
四、三个别信的说法
版本号只有小数点后的差别，不急。 错。利用链从公开到实际打中只隔了约二十四小时，这个窗口以后只会更短。补丁发布当天升级，才是唯一的稳妥节奏。
我设置了密码，攻击进不来。 这条链的起点恰恰是绕过登录：先借一个内部接口拿到管理员令牌，再借转码功能写入并运行恶意文件。有没有密码不是关键，版本旧才是。
打了补丁就算了结。 如果机器已经中招，恶意文件会在每次转码时重新运行，重启服务赶不走它。先确认干净，再谈打补丁。
五、一句话结论
自建服务只要暴露在公网，就该按生产服务器来管：补丁当天装，用不到的端口全关掉。
信息来源
功能与价格以官方公告为准。本文写于 2026 年 10 月 26 日。
每周一封，只发新教程和可复制模板。不发广告，随时退订。