位于 Emby Server 的发布服务 plugins 文件夹中

2. 还需要检查 cache 和 data 子文件夹中是否存在类似名称的 dll

3. 检查服务器 /etc/hosts 文件 ，

以下是紧急总结 ：

自 2023 年 5 月 25 日起 Emby Server 自建服务器将自动关闭

自 2023 年 5 月 25 日起 Emby Server 自建服务器将无法启动

用户要采取的行动 ：

1. 删除插件 dll 文件 ，

对恶意插件的安全分析表明 ，最终可以达到建立后门的更新关闭目的 。端口或 DNS 服务器

最后：

立即检查更新并安装 Emby Server 4.7.12 版。修复Emby 更新将会在检测到异常后将自动关闭服务器 。漏洞删除该条目

4. 检查其他异常 ：检查是远程用户否有可以账户、

自建

官方公告 ：https://emby.media/support/articles/advisory-23-05.html#emby-server-4712-security-update

自建

结合最近 beta 通道中修复的器蓝代理标头漏洞
，设置不允许没有密码的点网本地登录 、考虑更换 IP 地址 (国内用户重启光猫) 、发布服务这些实例可以通过公网访问 ，紧急防火墙规则

5. 立即修改所有账户密码

必须在完成以上步骤后，安全鉴于以上情况的更新关闭严重性和性质，黑客会窃取 Emby Server 的修复登录凭据，从而在 Emby Server 中建立后门。并且管理员用户账户的配置不安全 。这使得攻击者能够获得对此类系统的管理访问权限 ，每次成功登录后账号密码都会发送到黑客的服务器 。同时 Emby 警告自托管用户检查安全情况，确保所有账户均需要密码登录而不是空密码

4. 重新启动公网连接 (如需要)
 ，未知进程 、一名黑客渗透了 Emby Server 的私人用户托管实例 (自托管实例 / 自建服务器)，未知网络连接和被开放的端口 、这是黑客的通信域名 ，因为在禁用异常插件后还可能有其他情况发生，而关闭服务器可以让管理员意识到此次安全问题并着手进行处理。因为从 5 月中旬开始一名黑客设法渗透了用户自己搭建的 Emby Server 
，并执行以下操作：(再启动服务器前操作)

1. 禁用外部网络连接 ，Emby 团队能够向 Emby Server 推送更新 ，SSH 配置
、

强行关闭服务器目前似乎是最佳做法
，该更新可以检测异常插件并将其封禁。

今天知名媒体服务器提供商 Emby 发布紧急安全更新 4.7.12 版修复已经被黑客利用的安全漏洞，同时基于安全考虑，名为 help.dll 和 EmbyHelper.dll，该文件中会出现 emmm.spxaebjhxtmddsri.xyz 127.0.0.1 ，也就是禁止公网访问

2. 转到 Emby Server 数据文件夹的此位置：programdata/plugins/configurations 删除 ReadyState.xml 和 EmbyScripterX.xml (如果没有就忽略)

3. 完成上述步骤后启动 Emby Server，

在进行仔细分析和评估后，

事件背景：

从 2023 年 5 月中旬开始 ，并为所有用户生成新密码 、最终让攻击者可以安装自定义插件 (恶意插件) ，