A série de vulnerabilidades conhecida como Plex2Shell, que foi descoberta apenas um dia após a publicação dos detalhes técnicos, permite que cibercriminosos tomem controle total de servidores expostos do software de mídia Plex. As falhas, registradas sob os códigos CVE-2026-96652; CVE-2026-96654; CVE-2026-96655; e CVE-2026-96656, permitem que invasores executem códigos maliciosos sem necessidade de senhas ou credenciais válidas. Essas vulnerabilidades afetam os servidores de mídia do programa e são identificadas no sistema como um conjunto de quatro falhas. Um invasor pode enganar o sistema para executar ordens internas, roubar o código de acesso do administrador e utilizar a ferramenta de conversão de vídeos para gravar e rodar arquivos maliciosos na máquina afetada. Para capturar o movimento dos criminosos, um pesquisador de segurança configurou um servidor armadilha (honey pot) com a versão desatualizada do sistema exposta à rede. Após um período de varreduras automáticas, o especialista identificou o início dos ataques reais usando o método divulgado publicamente. As invasões observadas na armadilha tinham como objetivo inicial a instalação do XMRig, um programa voltado para a mineração não autorizada da criptomoeda Monero, que consome o processamento da máquina vítima. Pouco tempo depois do primeiro ataque, o ambiente capturou a instalação de uma segunda ferramenta maliciosa chamada
