Le 19 octobre 2026, Ars Technica a rapporté qu’un chercheur avait observé des scans visant un Plex Media Server simulé dans la journée suivant la mise en place d’un honeypot, puis des infections réussies. Les charges signalées comprenaient un mineur de cryptomonnaie et un logiciel proxy résidentiel.
Pour le contexte sur les tentatives d’exploitation déjà rapportées, retrouvez notre précédent article sur Plex2Shell.
Ce que le honeypot Plex2Shell a observé
Un honeypot est un système leurre configuré pour attirer des connexions suspectes. Dans ce cas, le serveur Plex était simulé. Le compte rendu décrit d’abord des scans, puis des infections par deux types de logiciels malveillants : un mineur de cryptomonnaie et un logiciel proxy résidentiel.
La chaîne de vulnérabilités Plex2Shell
Le chercheur a baptisé Plex2Shell une chaîne de quatre vulnérabilités permettant une exécution de code à distance sans authentification sur un Plex Media Server vulnérable. Il associe à cette chaîne les identifiants CVE-2026-96652, CVE-2026-96654, CVE-2026-96655 et CVE-2026-96656.
À haut niveau, le chercheur décrit une SSRF, ou falsification de requête côté serveur, suivie d’un accès à une adresse locale, du vol d’un jeton propriétaire, puis de l’envoi d’une charge par le transcodage et de l’exécution de code. Il indique avoir signalé les failles à Plex le 27 juillet 2026. Selon son récit, Plex a reconnu le signalement et versé une récompense le 4 août, les CVE ont été attribués le 23 septembre et la chaîne a été divulguée publiquement le 16 octobre.
Les versions recommandées par Plex
Dans son avis de sécurité du 1er septembre 2026, Plex recommande Plex Media Server 1.43.3 ou une version ultérieure et Plex Desktop 1.115.0. Ces consignes concernent deux logiciels distincts : vérifiez la version du serveur et celle de l’application de bureau que vous utilisez.
Plex précise qu’un paquet destiné à un NAS peut ne pas apparaître immédiatement dans le gestionnaire de paquets de l’appareil. Dans ce cas, son avis de sécurité et ses consignes de mise à jour recommandent de télécharger le paquet adapté, puis de suivre la procédure d’installation du fabricant du NAS.
Réduire l’exposition de l’accès à distance
Pour limiter l’exposition du serveur, Ars Technica rapporte des recommandations qui privilégient l’accès au réseau local lorsque c’est possible. Si vous avez besoin d’un accès à distance, le compte rendu conseille un proxy inverse plutôt que l’exposition directe du port par défaut 32400, ainsi que des applications Plex sécurisées et des mots de passe robustes.
