Serveurs Plex exposés aux attaques

Les utilisateurs installent Plex pour accéder à leur collection de films à distance. Pour cela, ils ouvrent un port sur leur boîtier, puis l'oublient. Ce petit serveur reste joignable en permanence depuis Internet, et les pirates scannent les ports ouverts à la recherche de machines oubliées.

Plex alerte sur une mise à jour de sécurité critique

Le 1er septembre 2026, Plex a demandé à tous les propriétaires de serveurs de passer à la version 1.43.3, par une alerte sur son forum et un courriel direct. L'éditeur avait déjà fait de même en août 2025 pour la vulnérabilité CVE-2025-34158.

Plusieurs failles de sécurité découvertes

Quatre identifiants ont été attribués le 23 septembre : CVE-2026-96652, 96654, 96655 et 96656. Le chercheur Zach Main avait signalé ces vulnérabilités à Plex dès le 27 juillet, en échange d'une récompense de 500 dollars (environ 430 euros).

Détails de l'attaque dévoilés

Ce vendredi 16 octobre, il a publié son analyse complète ainsi qu'un code de démonstration. Le lendemain, un autre chercheur a vu son pot de miel, un faux serveur Plex laissé exposé, attaqué à l'aide de ce code. Début septembre, la Fondation Shadowserver avait déjà recensé plus de 36 000 serveurs Plex exposés et non corrigés.

L'exploitation ne nécessite aucun identifiant

Quatre vulnérabilités enchaînées, aucun mot de passe requis. L'attaque ne nécessite aucun identifiant valide : il suffit que le serveur soit joignable sur le port 32400. L'attaquant présente d'abord un jeton factice, que Plex accepte car il vérifie seulement que le champ existe.

Enchaînement de l'attaque et gravité

Il force ensuite le serveur à envoyer une requête à lui-même, ce qui ouvre une interface interne réservée à la machine locale. De là, il détourne le module qui récupère les listes d'émissions de télévision afin de voler le jeton d'administrateur. Avec ce jeton, il pousse le transcodeur vidéo à écrire un fichier malveillant dans le dossier des codecs, que Plex charge ensuite automatiquement.

Un niveau de gravité élevé

Zach Main attribue à l'ensemble la note de 10 sur 10 à l'échelle CVSS de gravité, le maximum. Il explique avoir mené cette investigation en grande partie avec des modèles d'intelligence artificielle, tout en prenant lui-même les décisions. Un pirate qui scanne Internet au hasard peut donc compromettre un serveur sans rien savoir de son propriétaire.

Les conséquences de l'attaque

Pour l'instant, le butin reste modeste : les serveurs piratés deviennent des mineurs de cryptomonnaie (Monero, via le logiciel XMRig), qui font tourner le ventilateur et alourdissent la facture. Le pot de miel n'est pas le seul cas : sur le forum de Plex, un utilisateur signale que son conteneur a commencé à miner pendant la nuit.

Risques cachés et détournements

Le plus embarrassant se situe ailleurs. Beaucoup de serveurs Plex fonctionnent sur des connexions résidentielles, et une adresse IP privée permet à un attaquant de masquer son trafic. Sur le pot de miel, un logiciel proxy nommé myawesomeproxy avait été installé en plus du mineur, avertissant au passage que le trafic Internet de la machine pouvait être réutilisé.

Atténuation et mises à jour

Votre boîtier sert alors de couverture à des activités dont vous n'avez absolument aucune connaissance. Si les mises à jour automatiques sont activées et que le serveur affiche la version 1.43.3.10861 ou une version plus récente, la vulnérabilité est corrigée. Les NAS tels que Synology, QNAP, Ugreen, TerraMaster ou équivalents demandent davantage d'attention, car la mise à jour passe par le gestionnaire de paquets du fabricant et peut arriver avec retard.

Une menace persistante même après correction

Plex conseille alors de télécharger le paquet depuis son site et de l'installer manuellement. Mettre à jour ne suffit pas si le serveur a déjà été visité. Le fichier malveillant reste dans le dossier Codecs de Plex et se relance à chaque transcodage, même après l'arrêt du mineur.

Recommandations aux utilisateurs

Si votre serveur a été exposé et n'était pas à jour, vous devriez rechercher les fichiers .so (ou .dll sous Windows) que vous n'avez pas placés vous-même. La meilleure défense consiste à ne pas exposer Plex directement sur Internet : un serveur accessible uniquement en local ou derrière un VPN évite ces scans automatisés.

Incidents et risques passés

En 2022, le piratage massif de LastPass est passé par l'ordinateur personnel d'un ingénieur qui n'avait pas mis à jour son Plex, via une vulnérabilité corrigée depuis mai 2020, et qui nécessitait un accès au compte de la victime. Un serveur multimédia oublié peut devenir le point d'entrée vers quelque chose de bien plus sensible qu'une collection de films.

Appel urgent à l'action

Bonne nouvelle : le correctif existe depuis le 1er septembre. Cela signifie qu'un serveur encore vulnérable aujourd'hui l'est le plus souvent par négligence, et les pirates comptent là-dessus. Si votre Plex est tourné vers Internet, vérifiez sa version dès maintenant, avant de finir dans les statistiques de Shadowserver.