未更新的 Plex server 被植入挖礦程式，舊版又對外開放就要檢查
保護說法來自四個漏洞之一的報告
XDA Developers 作者 Simon Batt 於 2026 年 10 月 20 日報道，攻擊者正利用長期未更新的 Plex server 挖取加密貨幣。這套做法名為 Plex2Shell，對象是自 8 月以來沒有再更新的機器。線索來自 BoredHackerBlog：他們架設了一台 Plex honeypot，觀察到攻擊者向誘餌機安裝惡意軟件，其後在 Reddit 詢問其他用家有沒有相同情況。
要理會的是仍在使用舊版、並且把服務對互聯網開放的用家；Reddit 上的檢查呼籲特別點名 Linux 與 Docker。回應裡，有人表示自己的 Plex server 出現可疑進程，也有人指向 Plex subreddit 的其他帖文。這些是 honeypot 觀察與用家自述，只覆蓋願意檢查並留言的機器。另一項限制要一併看：XDA 寫明 Plex2Shell 使用了四個漏洞，「1.43.3.10861 或以上的版本應已受到保護」出自其中一個漏洞的報告。
修補早於公開，未更新的機器仍被利用
報道指，Plex2Shell 於 2026 年 7 月下旬已向 Plex 通報，漏洞在 8 月 4 日完成修補，相關資料直到 10 月 16 日才公開。XDA 把原因放在自架習慣：很多人裝好就丟低，server 一直開着，更新卻停在 8 月之前，攻擊者仍能藉 Plex2Shell 進入並裝上挖礦程式。
若按報道的時序分析，8 月 4 日至 10 月 16 日是修補已經存在、手法尚未公開的窗口；公開之後，又舊又對互聯網開放的 server 依然符合攻擊條件。報道沒有入侵宗數，也沒有負載或用電數字。挖礦程式會持續佔用運算資源，機主要自己承擔多出的電費，處理器亦會被長時間佔用。這是從挖礦程式的用途推斷出來的，報道沒有測量數據。
報道列出的可疑跡象
XDA 引述 BoredHackerBlog 的建議：舊版、對互聯網開放、而且跑在 Linux 或 Docker 的 Plex，可以用 ps axjf 查看進程樹，留意 Plex Media Server 有沒有可疑子進程。帖文點名的特徵如下。
| 檢查位置 | 報道中的可疑跡象 |
|---|---|
| 進程名稱 | myawesomeproxy、mylovelyminer、x12345 |
| 下載行為 | 以 wget 或 curl 連往某個 IP，並下載異常腳本 |
| 命令列 | 出現 --rig-id、proxystream[.]st 或 --donate-level |
| 進程樹 | Plex Media Server 底下出現可疑子進程 |
特徵吻合，說明這部 server 應先切斷對外連線，再追查進程。這些是社群帖文用的辨識線索，不能據此確認所有未更新的 Plex 都已中招。
版本、更新與對外曝露
按這篇報道，可以先執行的版本線是 1.43.3.10861 或以上。XDA 寫道，很久沒有更新、又面向互聯網的 Plex server，現在應該升級。實務上可同時收緊對外曝露，把不必要的服務留在內網，不要整台直接暴露到互聯網。這項建議對應的是攻擊條件，也就是舊版加上對外開放；報道沒有把它寫成 Plex 的正式步驟。
這個版本號只對應該報告的說法：該報告認為 1.43.3.10861 或以上應已受到保護。其餘漏洞在哪個版本修補，報道沒有列出。分析上，升級處理的是漏洞；挖礦程式若已在機器裡，不會因為升級而自動消失，仍要用上述特徵再查一次。清除步驟不在這篇報道之內。
仍對互聯網開放、版本又低於 1.43.3.10861 的 Linux 與 Docker 用家，是目前最需要完成更新和進程檢查的一群。接下來可以觀察 Plex 與各份漏洞報告，會否公開其餘三個漏洞對應的修補版本。在只引用一份報告的情況下，1.43.3.10861 是可以先做的門檻。
延伸閱讀
AI 輔助說明： 本文由 AI 協助整理，並經兩輪獨立自動品質審核；資料及連結仍以原始來源為準。
參考來源
- XDA Developers — Hackers are using unpatched Plex servers as crypto miners, and yours may be at risk — original report
本文根據原文及公開資料整理；資料有出入時，以原文及官方資料為準。
