# ช่องโหว่ Plex2Shell ถูกใช้เจาะ Plex Media Server ที่บ้าน ฝังตัวขุดคริปโตและพร็อกซี

> ช่องโหว่ Plex2Shell 4 รายการใน Plex Media Server ถูกใช้ฝังตัวขุดคริปโตและพร็อกซี CISA ขึ้นบัญชี KEV แล้ว เจ้าของเครื่องต้องอัปเดตเป็น 1.43.3.10861 ขึ้นไป

- ประเภท: ข่าว · หมวด: Home Tech
- เผยแพร่: 2026-10-22T12:00:00.000Z · อัปเดต: 2026-10-22T12:00:00.000Z
- โดย: กองบรรณาธิการ THAI DATA, THAI DATA IT BUSINESS ENTERPRISE
- ที่มา: https://thaidata.co.th/home-tech/plex2shell-plex-vulnerability-cisa-kev/

## สรุปประเด็นสำคัญ

- **ช่องโหว่ Plex2Shell** คือช่องโหว่ **4 รายการ** (CVE-2026-96652, 96654, 96655 และ 96656) ที่ Plex ระบุว่าเมื่อใช้ต่อกันทำให้ผู้โจมตีที่ไม่ต้องล็อกอินรันโค้ดบนเครื่องได้ด้วยสิทธิ์ของ Plex Media Server
- Plex ระบุว่าเวอร์ชัน **1.43.3.10861 ขึ้นไป** ไม่ได้รับผล และเตือนว่าเครื่องที่เก่ากว่านั้นและเข้าถึงได้จากอินเทอร์เน็ต "ให้ถือว่าอาจถูกเจาะแล้ว"
- นักวิจัยแจ้ง Plex ตั้งแต่ **27 กรกฎาคม 2026** และเปิดเผยรายละเอียดเมื่อ **16 ตุลาคม** จากนั้น Plex ยืนยันเมื่อ 19 ตุลาคมว่าเครื่องที่ถูกเจาะถูกใช้รันโปรแกรมขุดคริปโตและพร็อกซี
- CISA เพิ่มช่องโหว่ Plex ทั้ง 4 รายการในบัญชี KEV เมื่อ **20 ตุลาคม 2026** และให้หน่วยงานรัฐบาลกลางสหรัฐฯ แก้ภายใน **23 ตุลาคม** และ **3 พฤศจิกายน**

**ช่องโหว่ Plex2Shell** คือช่องโหว่ 4 รายการใน Plex Media Server โปรแกรมเซิร์ฟเวอร์เก็บหนังและเพลงที่หลายบ้านติดตั้งไว้บนพีซีหรือ NAS ซึ่ง Plex ยืนยันเมื่อ 19 ตุลาคม 2026 ว่ากำลังถูกโจมตีอย่างกว้างขวาง เครื่องที่ถูกเจาะถูกใช้รันโปรแกรมขุดเงินคริปโตและพร็อกซีที่ส่งทราฟฟิกของคนอื่นผ่านเน็ตบ้านของเหยื่อ ทางแก้คืออัปเดตเป็นเวอร์ชัน 1.43.3.10861 ขึ้นไป

วันถัดมา 20 ตุลาคม 2026 สำนักงานความมั่นคงปลอดภัยไซเบอร์และโครงสร้างพื้นฐานของสหรัฐฯ (CISA) เพิ่มช่องโหว่ Plex ทั้ง 4 รายการเข้าบัญชีช่องโหว่ที่ถูกใช้โจมตีจริง (KEV) โดยระบุว่ามีหลักฐานการโจมตี ส่วน Plex เขียนเตือนเจ้าของเซิร์ฟเวอร์ตรง ๆ ว่า ถ้าเครื่องเก่ากว่า 1.43.3.10861 และเข้าถึงได้จากอินเทอร์เน็ต "ให้ถือว่าอาจถูกเจาะแล้ว"

## ช่องโหว่ Plex ทั้ง 4 รายการคืออะไร

ประกาศของ Plex บนฟอรัมทางการสรุปช่องโหว่แต่ละรายการไว้สั้น ๆ ส่วนฐานข้อมูล NVD ของ NIST และ CISA จัดประเภทไว้ตามตารางนี้

| CVE | Plex สรุปว่า | ประเภทตาม NVD/CISA | CVSS 3.1 (NVD) |
| --- | --- | --- | --- |
| CVE-2026-96652 | ปลอมคำขอจากฝั่งเซิร์ฟเวอร์ได้โดยไม่ต้องล็อกอิน | Server-Side Request Forgery (SSRF) | 4.3 |
| CVE-2026-96654 | เข้าถึงฟังก์ชันภายในของ agent ผ่าน loopback | Improper Neutralization of Encoded URI Schemes | 6.5 |
| CVE-2026-96655 | ทำให้โทเคนผู้ดูแลของเจ้าของเซิร์ฟเวอร์รั่ว | Server-Side Request Forgery (SSRF) | 4.3 |
| CVE-2026-96656 | เขียนไฟล์ลงโฟลเดอร์ Codecs ผ่านค่าตั้งของตัวแปลงไฟล์วิดีโอ | External Control of File Name or Path | 7.2 |

ถ้าดูทีละรายการ คะแนนอยู่ระดับปานกลางถึงสูง แต่ Plex ระบุว่าเมื่อใช้ต่อกัน ผู้โจมตีจากระยะไกลที่ไม่ต้องล็อกอินจะรันโค้ดบนเครื่องได้ด้วยสิทธิ์ของโปรเซส Plex Media Server นักวิจัยผู้ค้นพบซึ่งใช้ชื่อ zmain ตั้งชื่อชุดนี้ว่า Plex2Shell และให้คะแนนทั้งสายการโจมตีที่ 9.8 ระดับวิกฤต ทุกรายการใน NVD ระบุว่าได้รับผลใน Plex Media Server ก่อนเวอร์ชัน 1.43.3.10861

![ประกาศของ Plex เมื่อ 19 ตุลาคม 2026 สรุปช่องโหว่ทั้ง 4 รายการ ยืนยันการโจมตีจริง และบอกขั้นตอนที่เจ้าของเซิร์ฟเวอร์ควรทำ](https://thaidata-co-th.s3.ap-southeast-1.amazonaws.com/thaidata.co.th/images/articles/plex2shell-plex-vulnerability-cisa-kev/plex-security-update-cve-details.webp?v=2ed79c2a) _(ภาพ: Plex (ภาพหน้าจอ))_

## ลำดับเหตุการณ์ของช่องโหว่ Plex2Shell

บันทึกของนักวิจัย zmain ระบุว่าเขาแจ้งช่องโหว่ต่อ Plex ผ่านโครงการด้านความปลอดภัยของบริษัทเมื่อ 27 กรกฎาคม 2026 และ Plex ยืนยันรับเรื่องพร้อมจ่ายเงินรางวัล (bug bounty) เมื่อ 4 สิงหาคม จากนั้นวันที่ 1 กันยายน Plex ประกาศบนฟอรัมว่าออก Plex Media Server 1.43.3 และ Plex Desktop 1.115.0 เพื่อแก้ปัญหาความปลอดภัยหลายรายการ และแนะนำให้เจ้าของเซิร์ฟเวอร์ทุกคนอัปเดตโดยเร็ว แต่ยังไม่เปิดเผยรายละเอียด

- **23 กันยายน 2026** NVD บันทึกวันเผยแพร่ CVE ทั้ง 4 รายการ
- **16 ตุลาคม** นักวิจัยเผยแพร่รายละเอียด Plex2Shell และ Plex ระบุว่ามีโค้ดพิสูจน์แนวคิด (proof of concept) เผยแพร่สาธารณะในวันเดียวกัน
- **17 ตุลาคม** บล็อก boredhackerblog ซึ่งตั้งเครื่องล่อ (honeypot) ที่รัน Plex เวอร์ชันมีช่องโหว่ รายงานว่าเริ่มเห็นการโจมตีจริง
- **19 ตุลาคม** Plex เพิ่มรายละเอียด CVE และยืนยันว่าช่องโหว่ "ถูกใช้โจมตีอย่างแพร่หลาย"
- **20 ตุลาคม** CISA เพิ่มทั้ง 4 รายการในบัญชี KEV

![ลำดับเหตุการณ์ Plex2Shell ตั้งแต่นักวิจัยแจ้ง Plex ในเดือนกรกฎาคมจนถึง CISA ขึ้นบัญชี KEV](https://thaidata-co-th.s3.ap-southeast-1.amazonaws.com/thaidata.co.th/images/articles/plex2shell-plex-vulnerability-cisa-kev/plex2shell-timeline.webp?v=2389fd37) _(ภาพ: THAI DATA (ข้อมูล: Plex, zmain, NVD, CISA และ boredhackerblog))_

## ผู้โจมตีใช้ช่องโหว่ Plex ทำอะไรกับเครื่องที่เจาะได้

Plex ระบุว่าหลังโค้ดพิสูจน์แนวคิดเผยแพร่ บริษัทเห็นการโจมตีเป็นวงกว้างต่อเซิร์ฟเวอร์ที่เปิดรับจากอินเทอร์เน็ตและยังไม่อัปเดต เครื่องที่ถูกเจาะถูกใช้รันโปรแกรมขุดเงินคริปโตและซอฟต์แวร์พร็อกซี ซึ่ง Plex อธิบายว่าเป็นการส่งทราฟฟิกของคนอื่นผ่านการเชื่อมต่ออินเทอร์เน็ตของเหยื่อ

ข้อมูลจาก honeypot ของ boredhackerblog สอดคล้องกัน ผู้เขียนระบุว่าไฟล์ที่ถูกดาวน์โหลดลงเครื่องรวมถึง XMRig โปรแกรมขุดเหรียญที่รู้จักกันดี และพบโปรแกรมพร็อกซีชื่อ myawesomeproxy ทำงานอยู่ ผู้เขียนตั้งข้อสังเกตว่า Plex อาจรันอยู่บน IP ของเน็ตบ้าน ซึ่งผู้โจมตีน่าจะอยากได้ไว้ทำพร็อกซี ข้อนี้เป็นความเห็นของผู้เขียนบล็อก ไม่ใช่ข้อสรุปของ Plex

สำหรับเจ้าของบ้าน ผลที่ตามมาไม่ได้มีแค่ CPU ที่ทำงานหนักตลอดเวลา ถ้าพบร่องรอยการถูกเจาะหรือตัดความเป็นไปได้ไม่ได้ Plex ให้ถือว่าทุกอย่างที่บัญชีบริการของ Plex เข้าถึงได้อาจรั่วไหลแล้ว เช่น โฟลเดอร์แชร์ที่เมานต์ไว้ และรหัสผ่านที่เก็บอยู่บนเครื่องหรือ VM เดียวกัน

## CISA ขึ้นบัญชี KEV พร้อมกำหนดเส้นตาย

CISA ประกาศเมื่อ 20 ตุลาคม 2026 ว่าเพิ่มช่องโหว่ 6 รายการใน[บัญชี KEV](/security/citrix-netscaler-cve-2026-88779-cisa-kev/)ตามหลักฐานการโจมตีจริง 4 ในนั้นเป็นช่องโหว่ Plex Media Server อีก 2 รายการเป็นของ SiteGuard Server Edition และ Siemens Software Center บัญชี KEV กำหนดให้หน่วยงานพลเรือนของรัฐบาลกลางสหรัฐฯ แก้ CVE-2026-96654 และ CVE-2026-96656 ภายใน 23 ตุลาคม และแก้ CVE-2026-96652 กับ CVE-2026-96655 ภายใน 3 พฤศจิกายน 2026 ตามคำสั่ง BOD 26-04

คำสั่งนี้บังคับเฉพาะหน่วยงานรัฐบาลกลางสหรัฐฯ แต่ CISA สนับสนุนให้ทุกองค์กรเร่งแก้ช่องโหว่ในบัญชี KEV ก่อน และนี่ไม่ใช่ครั้งแรกที่ช่องโหว่ Plex อยู่ในบัญชีนี้ CISA เคยเพิ่ม CVE-2020-5741 ช่องโหว่รันโค้ดของ Plex Media Server ที่ผู้โจมตีต้องเข้าถึงบัญชีผู้ดูแลได้ก่อน เมื่อ 10 มีนาคม 2023

## ทำไมเรื่องนี้สำคัญกับบ้านที่ตั้งเซิร์ฟเวอร์เอง

นักวิจัย zmain ระบุว่า Plex Media Server มักเปิดตรงสู่อินเทอร์เน็ตเพื่อให้ผู้ใช้ดูได้จากนอกบ้าน ช่องโหว่ Plex ที่แก้แล้วตั้งแต่ต้นเดือนกันยายนจึงยังถูกใช้โจมตีได้ในเดือนตุลาคมกับเครื่องที่ยังไม่ได้อัปเดต

อีกจุดที่ต้องระวังคือเลขเวอร์ชัน ประกาศแรกของ Plex พูดถึง "1.43.3 หรือใหม่กว่า" แต่ประกาศ 19 ตุลาคมและ NVD ระบุเลขเต็มว่าเวอร์ชันที่ไม่ได้รับผลคือ 1.43.3.10861 ขึ้นไป เครื่องที่ขึ้นต้นด้วย 1.43.3 แต่เลขท้ายต่ำกว่า 10861 จึงยังอยู่ในช่วงที่ NVD ระบุว่าได้รับผล ส่วนผู้ใช้ NAS อาจยังไม่เห็นเวอร์ชันใหม่ในศูนย์แอป เพราะ Plex ระบุตั้งแต่ประกาศแรกว่าตัวจัดการแพ็กเกจของ NAS อาจยังไม่มีเวอร์ชันที่อัปเดต และให้ติดตั้งแพ็กเกจเอง

![ประกาศแรกของ Plex เรื่องอัปเดตความปลอดภัยสำหรับเวอร์ชัน 1.43.2 และเก่ากว่า ซึ่งบอกว่าผู้ใช้ NAS อาจต้องติดตั้งแพ็กเกจเอง](https://thaidata-co-th.s3.ap-southeast-1.amazonaws.com/thaidata.co.th/images/articles/plex2shell-plex-vulnerability-cisa-kev/plex-security-update-1-43-3-announcement.webp?v=5c966133) _(ภาพ: Plex (ภาพหน้าจอ))_

## สิ่งที่เจ้าของบ้านควรทำ

ขั้นตอนรับมือช่องโหว่ Plex ต่อไปนี้มาจากประกาศของ Plex เมื่อ 19 ตุลาคม 2026 ส่วนวิธีอัปเดตแยกตามอุปกรณ์มาจากประกาศแรก

1. **ตรวจเวอร์ชัน** เปิด Plex Web ไปที่ Settings → General ต้องเป็น 1.43.3.10861 หรือใหม่กว่า
2. **อัปเดตตามอุปกรณ์** Windows และ macOS อัปเดตอัตโนมัติหรือดาวน์โหลดจากหน้า Downloads ของ Plex ส่วน NAS ให้ดาวน์โหลดแพ็กเกจของรุ่นนั้นแล้วติดตั้งเองผ่านศูนย์แอปของ NAS โดยประกาศของ Plex ลิงก์คู่มือแยกสำหรับ QNAP, Synology, TerraMaster, WD และ Netgear ผู้ใช้ Docker ดูคำแนะนำใน GitHub ของ pms-docker และ NVIDIA Shield อัปเดตผ่าน Google Play
3. **มองหาร่องรอยการถูกเจาะ** โปรเซสที่ Plex เปิดขึ้นโดยไม่รู้จัก เช่น myawesomeproxy, mylovelyminer หรือ x12345 ไฟล์ .so หรือ .dll แปลกปลอมในโฟลเดอร์ Codecs การเชื่อมต่อออกไปยัง proxystream.st หรือ CPU ทำงานหนักต่อเนื่องทั้งที่ไม่ได้เปิดดูอะไร
4. **ถ้าพบหรือตัดความเป็นไปได้ไม่ได้** ติดตั้งเซิร์ฟเวอร์ใหม่แบบสะอาดแทนการใช้โฟลเดอร์ข้อมูล Plex เดิม อย่างน้อยต้องลบทุกไฟล์ในโฟลเดอร์ Codecs และตรวจไฟล์ Preferences.xml ว่ามีค่าตั้งของตัวแปลงไฟล์ที่ไม่ได้ตั้งเองหรือไม่ จากนั้นสั่งออกจากระบบทุกอุปกรณ์ในบัญชี Plex และเปลี่ยนรหัสผ่าน
5. **ปิดการเข้าถึงจากนอกบ้านถ้าไม่ใช้** ปิดที่ Settings → Remote Access และหลีกเลี่ยงการเปิดพอร์ต 32400 ตรงบนเราเตอร์ถ้าไม่จำเป็น

ติดตามข่าวช่องโหว่ กล้อง เราเตอร์ และอุปกรณ์อื่นในบ้านได้ที่[หมวดความปลอดภัยในบ้าน](/home-tech/home-security/)

## คำถามที่พบบ่อย

### ช่องโหว่ Plex2Shell คืออะไร?

ช่องโหว่ Plex2Shell คือชื่อที่นักวิจัย zmain ตั้งให้ช่องโหว่ 4 รายการใน Plex Media Server ได้แก่ CVE-2026-96652, CVE-2026-96654, CVE-2026-96655 และ CVE-2026-96656 ซึ่ง Plex ระบุว่าเมื่อใช้ต่อกันทำให้ผู้โจมตีที่ไม่ต้องล็อกอินรันโค้ดบนเซิร์ฟเวอร์ได้ และถูกใช้ฝังโปรแกรมขุดคริปโตกับพร็อกซีแล้ว

### Plex Media Server เวอร์ชันไหนปลอดภัยจากช่องโหว่ Plex2Shell?

Plex ระบุว่า Plex Media Server 1.43.3.10861 ขึ้นไปไม่ได้รับผลจากช่องโหว่ Plex2Shell ตรวจเลขเวอร์ชันได้ใน Plex Web ที่ Settings → General เครื่องที่ขึ้นต้นด้วย 1.43.3 แต่เลขท้ายต่ำกว่า 10861 ยังอยู่ในช่วงที่ NVD ระบุว่าได้รับผล

### จะรู้ได้อย่างไรว่า Plex ที่บ้านถูกเจาะผ่านช่องโหว่ Plex2Shell แล้ว?

Plex ให้สังเกตโปรเซสแปลกที่ Plex เปิดขึ้น เช่น myawesomeproxy, mylovelyminer หรือ x12345 ไฟล์ .so หรือ .dll ที่ไม่รู้จักในโฟลเดอร์ Codecs การเชื่อมต่อออกไปยัง proxystream.st และ CPU ทำงานหนักต่อเนื่องทั้งที่ไม่มีการเล่นไฟล์ ถ้าพบหรือไม่แน่ใจ ให้ติดตั้งใหม่แบบสะอาดและเปลี่ยนรหัสผ่านบัญชี Plex

### ถ้าไม่ได้เปิด Remote Access ของ Plex ยังต้องอัปเดตหรือไม่?

ต้องอัปเดต Plex แนะนำให้เจ้าของเซิร์ฟเวอร์ทุกคนอัปเดตตั้งแต่ประกาศแรกเมื่อ 1 กันยายน 2026 การโจมตีที่ Plex พบมุ่งไปที่เซิร์ฟเวอร์ที่เข้าถึงได้จากอินเทอร์เน็ต การปิด Remote Access และไม่เปิดพอร์ต 32400 จึงช่วยลดช่องทาง แต่ตัวแก้ช่องโหว่ Plex คือการอัปเดตเป็น 1.43.3.10861 ขึ้นไป


## แหล่งอ้างอิง

- [Important Security Update for Plex Media Server v1.43.2 and earlier](https://forums.plex.tv/t/important-security-update-for-plex-media-server-v1-43-2-and-earlier/942319) — Plex
- [Plex2Shell](https://zmain.info/blog/plex2shell) — zmain (นักวิจัยผู้ค้นพบ)
- [Plex vulnerabilities being exploited in the wild to drop a cryptominer](https://www.boredhackerblog.info/2026/10/plex-vulnerabilities-being-exploited-in.html) — boredhackerblog
- [CISA Adds Six Known Exploited Vulnerabilities to Catalog](https://www.cisa.gov/news-events/alerts/2026/10/20/cisa-adds-six-known-exploited-vulnerabilities-catalog) — CISA
- [Known Exploited Vulnerabilities Catalog](https://www.cisa.gov/known-exploited-vulnerabilities-catalog) — CISA
- [CVE-2026-96652 Detail](https://nvd.nist.gov/vuln/detail/CVE-2026-96652) — NIST National Vulnerability Database
- [CVE-2026-96654 Detail](https://nvd.nist.gov/vuln/detail/CVE-2026-96654) — NIST National Vulnerability Database
- [CVE-2026-96655 Detail](https://nvd.nist.gov/vuln/detail/CVE-2026-96655) — NIST National Vulnerability Database
- [CVE-2026-96656 Detail](https://nvd.nist.gov/vuln/detail/CVE-2026-96656) — NIST National Vulnerability Database