Corrigées en septembre, les failles du serveur multimédia Plex sont désormais exploitées

Le 17 octobre au matin, un chercheur qui surveille un faux serveur Plex, laissé volontairement dans une ancienne version, observe pour la première fois une vraie attaque. La veille, un autre chercheur avait publié l'explication détaillée et le code d'une chaîne de quatre failles baptisée « Plex2Shell ». Il a fallu à peine une journée pour qu'elle serve.

Le 20 octobre, l'agence américaine de cybersécurité CISA a inscrit ces quatre failles dans son catalogue des vulnérabilités exploitées : CVE-2026-96652, CVE-2026-96654, CVE-2026-96655 et CVE-2026-96656. Plex Media Server, logiciel très répandu chez les particuliers et dans certaines petites structures, sert à diffuser ses films et sa musique sur tous ses écrans. Il faut installer la version 1.43.3.10861 ou une version plus récente.

Une chaîne qui se passe de mot de passe

Prise seule, chaque faille paraît modeste. La CVE-2026-96652, par exemple, permet à un utilisateur muni d'un jeton valide de faire envoyer par le serveur des requêtes vers d'autres machines. Combinées, selon SecurityWeek, les quatre failles permettent d'exécuter du code sur un serveur exposé, sans identifiants, avec les droits du service Plex.

Le chercheur les avait signalées à Plex le 27 juillet. L'éditeur les a confirmées le 4 août et a versé une prime. Le 1^er septembre, il annonçait des correctifs et demandait aux propriétaires des versions 1.43.2 et antérieures de mettre à jour sans attendre. Le code d'attaque n'est paru que le 16 octobre. Il est arrivé six semaines après les correctifs.

Ce que les pirates installent

Sur le pot de miel, c'est-à-dire le serveur piège tenu par le chercheur du blog BoredHackerBlog, l'attaquant a d'abord déposé un logiciel de minage de cryptomonnaie construit sur XMRig. Plus tard dans la journée est arrivé un programme mandataire, « myawesomeproxy », qui fait transiter le trafic d'autres personnes par la connexion de la victime.

Le chercheur souligne un autre risque : beaucoup de serveurs Plex tournent sur des connexions domestiques. Un attaquant pourrait s'en servir comme relais résidentiel pour atteindre des VPN et des messageries d'entreprise. Seul ce pot de miel est documenté à ce stade : on ignore combien de vrais serveurs ont été touchés et qui mène ces attaques.

Que faire ?

Le correctif existe depuis septembre. Il suffit de l'installer.

• Mettre à jour Plex Media Server vers la 1.43.3.10861 ou plus récente, depuis l'interface ou le site de Plex.
• Ne pas exposer le serveur directement sur Internet si vous n'en avez pas besoin.
• Vérifier l'activité du processeur : un minage clandestin se traduit souvent par une machine qui chauffe et ventile sans raison. Les indicateurs publiés par le chercheur ne reflètent que son pot de miel et ne sont pas exhaustifs.
• En entreprise, interdire ce type de serveur personnel sur les postes qui accèdent au réseau interne.

Le même jour, la CISA a aussi ajouté à son catalogue une faille de SiteGuard Server Edition et une autre du Siemens Software Center. La prochaine étape à surveiller : le nombre réel de serveurs compromis, encore inconnu.