# 安全提醒：Plex 遭黑客攻击，AOMEI 两款软件更新渠道被劫持

**URL:** <https://meta.appinn.net/t/topic/94013>\
**Category:** 青蛙的应用\
**Created:** [2026 年10 月 20 日 08:44 UTC](https://meta.appinn.net/t/topic/94013 "2026-10-20T08:44:42Z")\
**Posts on this page:** 1\
**Page:** 1

<div class="post-metadata">

作者： ![Qingwa](https://meta-edge.appinn.com/user_avatar/meta.appinn.net/qingwa/32/58632_2.png) [@Qingwa](https://meta.appinn.net/u/Qingwa)\
发布日期： [2026 年10 月 20 日 08:44 UTC](https://meta.appinn.net/t/topic/94013/1 "2026-10-20T08:44:43Z")

</div>

原始链接在： [安全提醒：Plex 遭黑客攻击，AOMEI 两款软件更新渠道被劫持 - 小众软件](https://www.appinn.com/plex-aomei-security-alert/)

最近两起热门软件安全事件，涉及影音服务器 **Plex** ，以及 **AOMEI** 的两款软件：备份软件 **AOMEI Backupper** 、远程桌面软件 **AnyViewer** 。

其中，Plex 的多个安全漏洞已经被黑客用于真实攻击，入侵服务器后安装挖矿程序和代理软件。

Google 安全研究团队披露的另一场攻击更为隐蔽：攻击者曾多次短暂修改 AOMEI 的官方更新服务器配置，让用户通过正常的软件更新流程下载并运行恶意程序。

感谢 @[不隔山](https://t.me/appinn/842867) 在 Talk 群组的推荐。

 ![](https://h2cdn.appinn.me/original/3X/d/2/d257e39b6af37c21790e5951f1b16e98a5c18625.jpeg)
## 一、Plex：旧版服务器正在遭到攻击

Plex 是一款流媒体服务器软件，常被用来搭建家庭影音库，也有不少用户将它部署在 NAS、Linux 服务器或 Docker 容器中。

Plex 在 9 月已经发布了安全更新，但直到最近，相关漏洞的利用方式才公开，攻击也随之出现。

攻击者可以串联利用 **4 个安全漏洞** ，在无需登录的情况下远程执行代码，控制 Plex Media Server 进程。

目前已经观察到的攻击包括：

- 在服务器上安装加密货币挖矿程序，消耗设备资源。
- 安装住宅代理软件，让其他人的网络流量通过受害者的互联网连接转发。

研究人员将这套攻击链称为 **Plex2Shell** 。10 月 16 日公开验证代码后，针对未修复公网服务器的攻击迅速出现。Plex 官方也在 10 月 19 日确认漏洞正在被广泛利用。

### 哪些用户受影响？

**运行低于 1.43.3.10861 版本的 Plex Media Server 用户。**

尤其需要关注能够从互联网访问的 Plex 服务器。

### 现在怎么办？

1. **立即升级 Plex Media Server 至 1.43.3.10861 或更高版本。** 在 Plex Web 的「设置 → 常规」中检查版本号。
2. 如果服务器开放了公网访问，检查是否存在异常 CPU 占用、不认识的后台进程，以及 Codecs 目录中可疑的 DLL 或 SO 文件。
3. 如果发现入侵迹象，官方建议从干净环境重新部署，并更改 Plex 密码、退出所有设备登录。
4. 不需要远程访问的用户，建议关闭 Plex Remote Access，并检查路由器是否映射了 32400 端口。

需要特别强调： **如果已经遭到入侵，单纯升级 Plex 并不能确保清除此前安装的恶意程序。**

官方公告：[Important Security Update for Plex Media Server](https://forums.plex.tv/t/important-security-update-for-plex-media-server-v1-43-2-and-earlier/942319)

## 二、AOMEI：黑客利用官方更新渠道偷偷安装后门

第二起事件涉及 **傲梅科技** ( **AOMEI Technology** )的软件更新基础设施。

**AOMEI Backupper** 是一款 Windows 备份、磁盘克隆与恢复软件， **AnyViewer** 则提供远程桌面连接功能。

 ![](https://h2cdn.appinn.me/original/3X/b/c/bc3cd1184e3100752b03640e64ea935d973b5f6b.avif)

10 月 15 日，Google Threat Intelligence Group 与 Mandiant 公开调查报告，披露了发生在 **2026 年 4 月至 7 月** 的一系列供应链攻击。

**这次攻击最特别的地方，是黑客只修改官方服务器上的更新配置 5～10 分钟，随后就将文件恢复原状。**

例如，7 月 20 日的一次攻击只持续了 5 分钟。

在这段时间内，恰好检查更新的用户，可能被引导下载恶意 ZIP 文件，并通过软件原有的通知和执行机制运行恶意程序。

攻击者还利用 Radmin 等合法远程管理软件作为掩护，植入名为 CROSSROAD、SHINYROAD 的恶意组件，以实现持久化控制。

也就是说，用户没有主动访问钓鱼网站，正常运行的软件也可能下载到恶意内容。

### 哪些用户需要注意？

主要是 **2026 年 4 月至 7 月期间使用相关 AOMEI 更新、通知组件的 Windows 用户** 。

这是一场已经确认发生的供应链攻击，但并不意味着所有安装过 AOMEI 软件的电脑都已感染。

### 现在怎么办？

Google 报告指出，AOMEI 在 7 月 29 日表示已采取纠正措施，保护软件分发服务器。

但有一个重要问题：

**官方服务器恢复正常，不代表之前中招的电脑已经安全。**

对于当时安装和运行过相关软件的用户，建议：

1. 从官方渠道更新相关软件，并运行可信的安全软件进行完整扫描。
2. 检查 Windows 任务计划程序，关注异常的 `RadminComponentRuntime`、`NitroRuntime` 等任务。
3. 检查 `%LOCALAPPDATA%\Radmin\`、`%LOCALAPPDATA%\Nitro Pro\` 等目录是否存在报告列出的可疑文件。
4. 如果发现感染迹象，应按已经遭到入侵的设备处理，清理持久化后门，必要时重装系统并更换可能泄露的凭据。

特别注意， **发现 Radmin 或 Nitro 相关目录本身不等于感染** ，需要结合文件、任务、数字签名及安全告警判断。

Google 完整调查报告：[Investigating Ephemeral Supply Chain Tampering](https://cloud.google.com/blog/topics/threat-intelligence/investigating-ephemeral-supply-chain-tampering/)

## 最后

这两起安全事件有一个共同点： **即使漏洞或服务器问题已经修复，之前遭到入侵的设备仍然可能不安全。**

对于 Plex 用户，最重要的是立即检查服务器版本；对于曾在相关时间段使用 AOMEI 软件的用户，则值得检查系统中是否留下异常程序和计划任务。

尤其是将 NAS、家庭服务器长期开放到公网的用户，除了保持软件更新，也应该定期检查异常进程和网络连接。

* * *

原文：https://www.appinn.com/plex-aomei-security-alert/