Ce qu’il faut retenir
Plex Media Server 1.43.2 et les versions antérieures contiennent quatre failles qui, enchaînées, permettent à un attaquant distant, sans identifiant, d’exécuter du code sur le serveur. Plex indique que ces failles sont activement et largement exploitées depuis la publication d’une preuve de concept le 16 octobre 2026, et QNAP annonce que son support accompagne des utilisateurs dont le serveur Plex semble compromis. Le correctif existe (Plex 1.43.3.10861 ou supérieure), mais si votre serveur était accessible depuis Internet, la mise à jour ne suffit pas : il faut le considérer comme potentiellement compromis et le vérifier.
Qui est concerné ?
| Produit | Plex Media Server, sur tous les systèmes (Windows, macOS, Linux et NAS, dont QNAP). Le défaut est dans Plex, pas dans le NAS : les systèmes QTS et QuTS hero de QNAP ne sont pas eux-mêmes concernés |
| Versions concernées | Plex Media Server 1.43.2 et antérieures |
| Version corrigée | Plex Media Server 1.43.3.10861 ou supérieure |
| Exposition | Surtout les serveurs accessibles depuis Internet : accès à distance activé, port 32400 redirigé sur le routeur, UPnP actif, ou exposition via myQNAPcloud |
| Source | Guide officiel QNAP |
Quel est le risque concret ?
Un serveur Plex accessible depuis Internet peut être pris en main à distance, sans mot de passe. Plex indique que des serveurs compromis ont servi à miner de la cryptomonnaie et à faire transiter le trafic d’autres personnes par la connexion Internet de la victime. Sur un NAS d’entreprise, un tel intrus se trouve à côté de vos fichiers et sauvegardes. Un point important : mettre à jour ne supprime rien de ce qu’un attaquant aurait déjà installé.
Priorité de traitement
Justification : exploitation active et massive selon l’éditeur, prise de contrôle à distance sans identifiant, et une simple mise à jour ne nettoie pas un serveur déjà compromis.
Que faut-il faire ?
- Vérifier si Plex Media Server est installé sur vos NAS ou serveurs, et dans quelle version (sur un NAS QNAP : App Center, Mes applications).
- Mettre à jour Plex vers la version 1.43.3.10861 ou supérieure, sans attendre.
- Si Plex était accessible depuis Internet en version 1.43.2 ou antérieure (ou mis à jour seulement après le 16 octobre) : considérer le NAS comme potentiellement compromis. Procéder à une réinstallation propre de Plex, rechercher des signes de compromission et réinitialiser les identifiants, selon le guide QNAP.
- Signes de compromission à rechercher : processus inconnus lancés par Plex (par exemple myawesomeproxy, mylovelyminer, x12345), fichiers .so ou .dll inhabituels dans le dossier Codecs, connexions sortantes vers proxystream.st, forte charge du processeur sans lecture en cours, détection du Malware Remover (par exemple le code MR2104).
- Réduire l’exposition : désactiver l’accès à distance de Plex s’il est inutile, supprimer la redirection du port 32400 sur le routeur, désactiver UPnP, et passer par un VPN pour un accès à distance.
- Identifiants : déconnecter tous les appareils du compte Plex puis changer son mot de passe (le jeton d’administrateur a pu être exposé) ; revoir aussi les comptes du NAS comme indiqué dans le guide QNAP.
Recommandation Chrysalead
Nous recommandons de ne pas laisser un serveur Plex accessible depuis Internet sur un NAS qui contient des données d’entreprise. Si vous êtes dans ce cas, mettez Plex à jour aujourd’hui, puis faites vérifier le NAS : contactez-nous si vous voulez un contrôle ou une réinstallation propre.
Détails techniques : les 4 vulnérabilités Plex2Shell
| CVE | Composant | Impact (selon Plex) |
|---|---|---|
| CVE-2026-96652 | Endpoint « timeline » du lecteur | Requête côté serveur falsifiée (SSRF), sans authentification |
| CVE-2026-96654 | Agents internes | Accès à des fonctions internes via l’interface locale (loopback) |
| CVE-2026-96655 | Compte administrateur | Divulgation du jeton d’administrateur du propriétaire du serveur |
| CVE-2026-96656 | Transcodeur | Écriture de fichiers arbitraires dans le dossier Codecs via les préférences du transcodeur |
Prises isolément, chaque faille présente un risque limité ; enchaînées, elles permettent l’exécution de code avec les droits du processus Plex Media Server (source : guide QNAP). Plex avait publié la version 1.43.3 le 1er septembre 2026 ; le détail des failles et l’exploitation active ont été annoncés le 19 octobre 2026.
Sources
Articles et services associés
- Plex Media Server
- Logiciel qui partage des vidéos et de la musique depuis un ordinateur ou un NAS.
- NAS
- Boîtier de stockage en réseau, souvent utilisé pour les fichiers et sauvegardes d’une entreprise.
- Exécution de code à distance
- L’attaquant peut faire fonctionner ses propres programmes sur votre machine depuis Internet.
- Sans authentification
- L’attaquant n’a besoin ni de compte ni de mot de passe pour tenter d’exploiter la faille.
- Preuve de concept
- Programme de démonstration qui montre comment exploiter une faille : il est souvent réutilisé par des pirates.
- CVE
- Identifiant public attribué à une vulnérabilité connue.
- CVSS
- Score de 0 à 10 qui évalue la gravité technique d’une vulnérabilité. Il ne mesure pas à lui seul l’impact sur l’activité d’une entreprise.
Cette alerte est une synthèse éditoriale rédigée par Chrysalead IT Services à partir du guide officiel de QNAP et de l’annonce de Plex (consultés le 12/11/2026). Les informations peuvent évoluer : vérifiez toujours la source officielle avant toute intervention sur vos équipements.