Plex2Shell: So prüfst du deinen Plex-Server und machst das Update
Du hast unter meinem Video PLEX kommentiert? Dann ist das hier deine Checkliste. Plex2Shell ist eine Kette aus vier Sicherheitslücken in Plex Media Server, über die Angreifer ohne Login eigenen Code auf deinem Server ausführen können. Seit dem 16. Oktober 2026 ist ein fertiger Exploit (also Angriffscode) öffentlich, und ab dem 17. Oktober wurden laut Berichten die ersten Server angegriffen. Mit dieser Checkliste findest du schnell heraus, ob dein Server betroffen ist und was du tun musst. Ich habe meinen eigenen Server genau so geprüft.
Kurz erklärt
- Betroffen sind alle Plex-Media-Server-Versionen unter 1.43.3.10861. Ab dieser Version ist die Lücke laut Plex geschlossen.
- Gefährdet ist vor allem ein Server, der aus dem Internet erreichbar ist, zum Beispiel über Remote Access oder eine Portfreigabe im Router.
- Angreifer installieren bisher einen Krypto-Miner auf Basis von XMRig (der rechnet auf deine Stromkosten Kryptowährung) und ein Proxy-Programm, das fremden Traffic über deinen Internetanschluss leitet.
- Die Lösung ist das Update. Danach prüfst du kurz, ob sich schon etwas eingenistet hat.
Was du brauchst
- Zugang zu Plex Web (app.plex.tv) mit dem Konto, dem der Server gehört.
- Für die Checks unter Linux: ein Terminal auf dem Server oder per SSH (verschlüsselter Fernzugriff auf die Kommandozeile). Unter Windows reicht der Task-Manager.
Schritt 1: Version prüfen
Öffne Plex Web, klick oben rechts auf das Schraubenschlüssel-Symbol und dann links unter deinem Server auf Allgemein (in der englischen Oberfläche General). Dort steht die Version. Alles ab 1.43.3.10861 ist sicher. Steht dort nur „1.43.3“ ohne die hintere Nummer, schau genau hin, denn frühere 1.43.3-Builds enthalten den Fix noch nicht.
Unter Debian oder Ubuntu geht es auch im Terminal:
dpkg -l plexmediaserverLäuft Plex in Docker, hilft dir der Image-Tag oft nicht weiter. Steht dort latest, sagt das nichts über die tatsächlich laufende Version. Nimm in dem Fall die Anzeige in Plex Web.
Schritt 2: Updaten
Plex installiert Updates nicht automatisch für alle. Das automatische Update gibt es nur unter Windows und macOS, und auch da fragt Plex standardmäßig erst nach (Einstellung „Ask me“). Unter Linux, in Docker und auf einem NAS musst du selbst updaten.
- Windows und macOS: aktuelle Version von plex.tv/media-server-downloads laden und drüber installieren.
- Debian/Ubuntu mit eingerichtetem Plex-Repository:
sudo apt update && sudo apt install plexmediaserver. Ohne Repository lädst du das .deb-Paket von der Download-Seite. - Docker Compose: im Ordner mit deiner
docker-compose.ymldocker compose pullund danachdocker compose up -d. Hast du den Container mitdocker rungestartet, ziehst du das neue Image und erstellst den Container damit neu. - NAS: Laut Plex kann das Paketzentrum deines NAS hinterherhinken. Dann installierst du das Paket von der Download-Seite manuell.
Danach prüfst du die Version noch einmal wie in Schritt 1.
Schritt 3: Remote Access prüfen
Ausnutzen kann die Lücke jeder, der deinen Server über das Netz erreicht. In Plex Web findest du unter dem Schraubenschlüssel links den Punkt Fernzugriff (Remote Access). Steht dort, dass dein Server von außen erreichbar ist, ist er aus dem Internet ansprechbar. Brauchst du keinen Zugriff von unterwegs, deaktiviere ihn. Plex rät außerdem davon ab, Port 32400 direkt im Router freizugeben. Hast du so eine Portfreigabe selbst angelegt, lösch sie im Router. Wenn du von unterwegs streamen willst, ist ein VPN in dein Heimnetz die sicherere Variante.
Schritt 4: Auf Spuren prüfen
Das Update schließt die Lücke, entfernt aber nichts, was schon drauf ist. Lief dein Server nach dem 16. Oktober mit einer alten Version und war von außen erreichbar, mach diese Checks. Alle Befehle lesen nur und ändern nichts.
CPU-Last: Plex nennt hohe CPU-Last, während nichts abgespielt wird, als Warnzeichen. Öffne top oder htop (unter Windows den Task-Manager) und schau, was ganz oben steht, wenn gerade niemand streamt.
Verdächtige Prozesse: Berichte nennen die Namen myawesomeproxy, mylovelyminer und x12345, dazu XMRig und die Domain proxystream.st in der Befehlszeile. Unter Windows suchst du im Task-Manager im Reiter Details nach diesen Namen. Unter Linux sucht dieser Befehl danach:
ps aux | grep -Ei 'myawesomeproxy|mylovelyminer|x12345|xmrig|proxystream' | grep -v grepKommt keine Ausgabe, ist das gut. Schau dir außerdem an, welche Prozesse Plex selbst gestartet hat (sogenannte Kindprozesse). Normal sind Prozesse, deren Name mit „Plex“ beginnt, etwa Plex Transcoder oder Plex Script Host. Alles andere darunter ist verdächtig.
ps --ppid "$(pgrep -o -f 'Plex Media Server')" -o pid,%cpu,cmdOffene Ports: sudo ss -tlnp zeigt dir, welche Programme auf Verbindungen warten. Plex selbst taucht mit Port 32400 auf. Ein Port, den du keinem deiner Dienste zuordnen kannst, gehört genauer angeschaut.
Codecs-Ordner: Die Angreifer legen ihre Datei laut Plex und mehreren Berichten im Codecs-Ordner von Plex ab, und sie startet bei jedem Transcoding neu. Unter Debian/Ubuntu liegt er im Plex-Datenordner. Dieser Befehl zeigt Dateien, die seit dem 15. Oktober dort neu dazugekommen sind:
sudo find "/var/lib/plexmediaserver/Library/Application Support/Plex Media Server/Codecs" -type f -newermt 2026-10-15 -lsIn Docker liegt er in dem Ordner, den du als /config eingebunden hast, unter Library/Application Support/Plex Media Server/Codecs. Unter Windows findest du ihn bei einer Standardinstallation unter %LOCALAPPDATA%\Plex Media Server\Codecs. Unbekannte .so- oder .dll-Dateien mit frischem Datum sind laut Plex ein Warnzeichen. Hat Plex in der Zeit selbst neue Codecs geladen, können dort auch harmlose Dateien auftauchen. Bist du unsicher, behandle den Server wie kompromittiert.
Wenn du etwas findest
Den Miner-Prozess einfach zu beenden reicht nicht, weil er beim nächsten Transcoding wieder startet. Plex empfiehlt bei einem Befall oder wenn du ihn nicht ausschließen kannst:
- Den Server vom Netz nehmen.
- Plex sauber neu aufsetzen, am besten aus einem Backup von vor dem 16. Oktober, und den Codecs-Ordner leeren.
- Die Datei Preferences.xml im Plex-Datenordner auf unerwartete Transcoder-Einstellungen prüfen.
- In deinem Plex-Konto alle Geräte abmelden und das Passwort ändern. Damit wird auch der gestohlene Admin-Token (der digitale Schlüssel für deinen Server) ungültig.
- Alles, worauf der Plex-Dienst Zugriff hatte, als gefährdet betrachten, also auch Netzlaufwerke und andere Dienste auf derselben Maschine.
So sah das bei mir aus
Mein Server lief schon auf 1.43.5. Das Update hatte ich am 5. Oktober eingespielt, also bevor der Exploit öffentlich war. Bei meinem Check mit den Befehlen oben gab es keine Miner- oder Proxy-Prozesse, Plex selbst lag bei etwa 7 % CPU, und es waren keine unbekannten Ports offen.
Häufige Fragen
Mein Server ist nur im Heimnetz erreichbar, muss ich trotzdem updaten? Ja. Das Risiko ist deutlich kleiner, aber jedes Gerät in deinem Netz könnte die Lücke ausnutzen, und das Update kostet dich ein paar Minuten.
Das NAS zeigt kein Update an? Dann lad das passende Paket für dein NAS auf der Plex-Download-Seite und installier es manuell über das Paketzentrum.
Fazit
Version prüfen, auf 1.43.3.10861 oder neuer updaten, Remote Access abschalten, wenn du ihn nicht brauchst, und einmal nach Spuren schauen. Mehr musst du für Plex2Shell nicht tun. Wenn du mehr zu Plex willst: So bekommst du Hardware-Transcoding mit einer Intel Arc A310 unter Proxmox zum Laufen, und hier steht, was hilft, wenn dein LG-TV bei DTS keinen Ton hat. Neue Guides und Sicherheitswarnungen wie diese bekommst du über meinen Newsletter.
Hat dir der Guide geholfen? Dann spendier mir gern einen Kaffee auf Ko-fi. Damit bleibt MappleBox werbefrei.
