Plex Media Server : failles activement exploitées, mise à jour vers 1.43.3.10861 à vérifier

En bref

• Le fait. Le 1er septembre 2026, Plex a annoncé une mise à jour corrigeant plusieurs failles de son logiciel Plex Media Server. Le 19 octobre 2026, l'éditeur a publié le détail des quatre CVE et indique qu'elles sont activement et largement exploitées. Combinées, elles permettent à un attaquant non authentifié de prendre la main sur le serveur. La CISA a inscrit les quatre failles à son catalogue des vulnérabilités exploitées (KEV) le 20 octobre 2026. Source : annonce de sécurité de Plex.
• Êtes-vous concerné ? Si Plex Media Server est installé sur un ordinateur, un serveur ou un NAS (Synology, QNAP et autres) de votre entreprise, ou sur un équipement personnel relié au réseau de l'entreprise, en particulier si l'accès à distance est activé. Selon Plex, les serveurs compromis ont servi à faire tourner des logiciels de minage de cryptomonnaie et des relais qui font passer le trafic d'inconnus par votre connexion internet.
• Quoi faire :
  1. faites vérifier que Plex Media Server est en version 1.43.3.10861 ou plus récente, et mettez-le à jour sinon ;
  2. si le serveur était joignable depuis Internet avec une version plus ancienne, Plex recommande de le considérer comme possiblement compromis : faites contrôler les signes décrits par l'éditeur ;
  3. si vous n'avez pas besoin d'y accéder depuis l'extérieur, désactivez l'accès à distance.
• Urgence : élevée. La faille est exploitée, et Plex demande de mettre à jour maintenant.

Détail technique

Identifiants. CVE-2026-96652 (falsification de requêtes côté serveur, SSRF), CVE-2026-96654 (accès à des fonctions internes d'agents), CVE-2026-96655 (divulgation du jeton d'administration du propriétaire, selon Plex), CVE-2026-96656 (écriture de fichiers arbitraires). Scores CVSS v4.0 publiés par la CNA et repris par la NVD : 8.6 pour CVE-2026-96656, de 5.3 à 6.9 pour les trois autres. Pas d'alerte CERT-FR à la date de ce billet.

Versions. Affectées : Plex Media Server antérieures à 1.43.3.10861. Corrigée : 1.43.3.10861 et ultérieures. Plex recommandait aussi, dans la même annonce, de mettre à jour Plex Desktop en 1.115.0.

KEV. Oui : les quatre CVE ont été ajoutées au catalogue KEV de la CISA le 20 octobre 2026.

Exploitation active. Oui, selon Plex (mise à jour de l'annonce du 19 octobre 2026) et la CISA (inscription au KEV).

Remédiation (recommandations de Plex).

• Mettre à jour en 1.43.3.10861 ou plus. Sur NAS, le paquet du magasin d'applications peut avoir du retard : Plex documente l'installation manuelle par plateforme. Pour Docker, suivre le dépôt officiel plexinc/pms-docker.
• En cas de doute ou de signe de compromission : reconstruire le serveur à partir d'une installation propre sans réutiliser l'ancien dossier de données Plex, ou au minimum vider le dossier Codecs et contrôler les options du transcodeur dans Preferences.xml ; déconnecter tous les appareils du compte Plex et changer le mot de passe ; considérer comme exposé tout ce que le compte de service Plex pouvait atteindre (partages montés, identifiants stockés sur la même machine).
• Désactiver l'accès à distance s'il n'est pas utile, et éviter de rediriger directement le port 32400 depuis la box ou le pare-feu.

IOC publics. Plex publie des indicateurs (noms de processus, fichiers inattendus dans le dossier Codecs, destinations réseau). Nous ne les recopions pas : reportez-vous à l'annonce de l'éditeur.

Vérifier sa version. Dans Plex Web : Paramètres, Général ; la version du serveur y est affichée. Sur un NAS, la version apparaît aussi dans le gestionnaire de paquets.