Plex 미디어 서버 취약점 Plex2Shell, 크립토마이너 설치 위험과 대응

Plex 미디어 서버를 집이나 NAS에서 돌리고 있다면, 최근 공개된 Plex2Shell 취약점 체인에 주의가 필요합니다. 2026년 10월 16일 공개된 공격 코드가 다음날 연구자의 허니팟을 공격해 크립토마이너를 설치한 사례가 확인됐습니다. 패치는 이미 8월부터 나왔지만, 인터넷에 포트를 열어둔 채 오래된 버전을 유지하는 서버가 많아 실제 피해가 발생하고 있습니다.

홈에서 돌아가는 Plex 서버도 인터넷에 노출되면 공격 대상이 될 수 있습니다.

Plex 서버가 갑자기 느려지거나 뜨거워진다면

영화를 재생하지 않는데도 팬이 강하게 돌고, 다른 작업이 버벅인다면 단순한 과부하가 아닐 수 있습니다. Plex2Shell로 불리는 네 개의 취약점을 연결한 공격은 서버에 인증 없이 코드를 실행한 뒤 모네로 채굴 프로그램(XMRig)과 주거용 프록시 도구를 심는 사례가 관측됐습니다. 채굴은 CPU를 지속적으로 사용하므로 전기 요금이 오르고 하드웨어 수명이 짧아질 수 있습니다. 프록시는 공격자가 피해자의 인터넷 연결을 다른 악성 트래픽의 경유지로 쓰게 만듭니다.

Plex는 2026년 9월 1일경 1.43.2 이하 사용자에게 보안 업데이트를 권고했습니다. 실제 수정은 1.43.3.10861 빌드부터 포함됐고, 이 버전은 8월 초부터 배포됐습니다. 그러나 NAS나 도커로 수동 관리하는 경우 자동 업데이트가 되지 않아 여전히 취약한 서버가 남아 있습니다.

취약점을 통해 설치된 마이너는 서버 자원을 몰래 사용합니다.

Plex2Shell 취약점이란 무엇인가

Plex2Shell은 CVE-2026-96652, CVE-2026-96654, CVE-2026-96655, CVE-2026-96656 네 취약점을 연쇄적으로 이용하는 공격입니다. 연구자 Zach Main이 2026년 7월 27일 Plex에 제보했고, 8월 4일 바운티를 받은 뒤 9월 23일 CVE가 할당됐습니다. 10월 16일 상세 분석과 개념 증명 코드가 공개됐고, 다음날 한 연구자의 인터넷 노출 허니팟이 공격받아 마이너와 프록시가 설치됐습니다.

공격 흐름은 대략 다음과 같습니다. 인증 없이 플레이어 타임라인 엔드포인트의 SSRF로 서버가 자기 자신에게 요청을 보내게 만들고, 루프백 전용 API를 통해 플러그인 기능을 호출합니다. 이후 관리자 토큰을 탈취하고, 트랜스코더 설정을 조작해 Codecs 폴더에 악성 공유 라이브러리를 씁니다. 트랜스코더가 시작할 때 이 파일이 로드되면서 Plex 프로세스 권한으로 코드가 실행됩니다. 개별 CVE의 CVSS는 4.3~7.2 수준이지만, 체인은 인증 없는 원격 코드 실행으로 이어집니다. CISA KEV에는 아직 등재되지 않았으며, 대규모 캠페인으로 확인된 것은 아닙니다. 현재까지는 연구자 허니팟 관측과 커뮤니티 제보가 주된 근거입니다.

공식 수정 버전은 1.43.3.10861 이상입니다. 1.43.3.10828 같은 중간 빌드는 여전히 취약하므로 버전 문자열을 정확히 확인해야 합니다. 최신 공개 빌드는 1.43.4대입니다.

누구에게 필요한가 / 굳이 필요 없는가

다음 경우에 즉시 점검이 필요합니다.

• Plex 미디어 서버를 PC, NAS, 도커 컨테이너에서 운영하고 있다.
• 원격 접속을 위해 포트 32400을 공유기나 방화벽에서 인터넷에 열어 두었다.
• 마지막 업데이트가 2026년 8월 이전이다.
• 서버가 항상 켜져 있고, 외부에서 앱으로 접속한다.

반대로 다음 경우는 상대적으로 위험이 낮습니다.

• 서버를 로컬 네트워크에서만 사용하고 포트 포워딩을 하지 않았다.
• 이미 1.43.3.10861 이상으로 업데이트했다.
• Plex를 아예 사용하지 않는다.

NAS 사용자나 도커로 이미지를 고정한 사람은 패키지 관리자가 자동으로 올려주지 않을 수 있어 수동 확인이 더 중요합니다.

마이너가 설치된 경우 재생하지 않아도 CPU 사용률이 높게 유지됩니다.

즉시 확인해야 할 항목

증상 → 원인 → 확인 → 해결 순서로 점검하세요.

1. 증상: 재생하지 않는데 팬 소음이 커지고, 다른 앱이 느려지거나 전기 사용량이 늘었다.
2. 원인: Plex2Shell 체인을 통한 원격 코드 실행 후 XMRig 마이너 또는 프록시 설치.
3. 확인:
   • Plex 웹에서 서버 설정 → 일반에서 버전 확인. 1.43.3.10861 미만이면 취약.
   • 작업 관리자(Windows), 활동 모니터(macOS), ps 명령(Linux)에서 Plex 프로세스의 자식 프로세스 확인. myawesomeproxy, mylovelyminer, x12345, xmrig 같은 이름이 보이면 의심.
   • Plex Codecs 폴더에 익숙하지 않은 .so 또는 .dll 파일이 있는지 검사.
   • 포트 32400이 외부에서 열려 있는지 공유기 설정 확인.
4. 해결: 즉시 업데이트, 인터넷 노출 차단, 의심 파일·프로세스 제거 후 재시작.

도커 사용자는 기존 컨테이너를 재시작만 해서는 패치되지 않습니다. 새 이미지를 pull하고 컨테이너를 다시 만들어야 합니다.

업데이트와 차단 방법

가장 확실한 방법은 최신 버전으로 올리는 것입니다.

• Plex 웹 앱 → 서버 설정 → 일반에서 업데이트를 확인하거나, 공식 다운로드 페이지에서 플랫폼별 설치 파일을 받아 설치하세요.
• NAS는 Synology, QNAP 등의 패키지 센터에서 최신 패키지를 확인하되, 공식 Plex 다운로드 페이지의 NAS 빌드를 수동 설치하는 경우가 더 빠를 수 있습니다.
• 도커는 plexinc/pms-docker 등 공식 이미지를 최신으로 pull한 뒤 컨테이너를 재생성하세요.

업데이트 후 다음을 추가로 하세요.

• 원격 접속이 꼭 필요하지 않다면 포트 32400 포워딩을 끄고, VPN이나 신뢰할 수 있는 터널만 사용하세요.
• 공유기에서 UPnP가 켜져 있다면 의도치 않게 포트가 열릴 수 있으니 확인하세요.
• 서버를 재시작한 뒤 다시 버전과 프로세스 목록을 점검하세요.

지금 바로 확인할 수 있는 다섯 가지 점검 항목입니다.

감염 의심 시 다음 조치

이미 마이너가 설치된 것으로 보이면 다음 순서를 따르세요.

1. 서버를 네트워크에서 격리하거나 인터넷 연결을 잠시 끊습니다.
2. Plex를 완전히 종료한 뒤 Codecs 폴더의 의심 파일을 백업 후 삭제합니다.
3. 작업 관리자나 ps로 남은 마이너·프록시 프로세스를 강제 종료합니다.
4. 최신 버전으로 재설치하거나 업데이트합니다.
5. 가능하면 미디어 라이브러리 외 설정 파일을 점검하고, 필요 시 서버를 재구성합니다.
6. 다른 계정 비밀번호와 공유 링크를 변경하는 것도 좋습니다.

커뮤니티에서 일부 사용자가 감염을 보고했으나, Plex나 CISA가 대규모 캠페인을 공식 확인한 것은 아닙니다. 그래도 공개된 PoC가 있고 허니팟이 바로 공격받은 만큼, 노출된 서버는 지금 업데이트하는 것이 안전합니다.

앞으로 같은 문제를 줄이려면

Plex처럼 홈 서버 소프트웨어는 편의상 포트를 열어두기 쉽습니다. 정기적으로 버전을 확인하고, 자동 업데이트가 가능한 환경이라면 켜 두는 것이 좋습니다. 원격 접속이 필요하면 Tailscale, WireGuard 같은 VPN을 쓰는 편이 포트 포워딩보다 안전합니다. 미디어 서버를 인터넷에 직접 노출하는 습관 자체가 위험을 키웁니다.

이 글은 2026년 10월 19일 기준으로 작성됐습니다. 공식 Plex 포럼의 보안 공지, 연구자 분석(zmain.info), 허니팟 관측 보고를 참고했습니다. 새로운 공식 확인이 나오면 업데이트 내용이 달라질 수 있습니다.

핵심 출처
– Plex 포럼 보안 업데이트 공지 (2026년 9월 1일경)
– zmain.info Plex2Shell 분석 (2026년 10월 16일)
– 연구자 허니팟 관측 보고 (2026년 10월 17일)