On installe Plex pour regarder sa collection de films à distance. Pour ça, on ouvre un port sur sa box, et on n’y pense plus. Ce petit serveur reste pourtant joignable depuis Internet en permanence, et des pirates scannent justement les ports ouverts à la recherche de machines oubliées.
Le 1er septembre 2026, Plex a demandé à tous les propriétaires de serveurs de passer en version 1.43.3, par une alerte sur son forum et un e-mail direct. L’éditeur avait déjà procédé ainsi en août 2025 pour la faille CVE-2025-34158. Attention au numéro exact : seule la version 1.43.3.10861 ou plus récente corrige le problème. Quatre identifiants ont été attribués le 23 septembre : CVE-2026-96652, 96654, 96655 et 96656.
Le chercheur Zach Main avait signalé ces failles à Plex dès le 27 juillet, contre une prime de 500 dollars (environ 430 €). Ce vendredi 16 octobre, il a publié son analyse complète et son code de démonstration. Dès le lendemain, un autre chercheur voyait son pot de miel, un faux serveur Plex laissé en pâture, attaqué avec ce code. Début septembre, la fondation Shadowserver recensait déjà plus de 36 000 serveurs Plex exposés et non corrigés.
L’attaque ne demande aucun identifiant valide : il suffit que le serveur soit joignable sur son port 32400. L’attaquant présente d’abord un jeton bidon, que Plex accepte parce qu’il vérifie seulement que le champ existe. Il force ensuite le serveur à s’envoyer une requête à lui-même, ce qui ouvre une interface interne réservée à la machine locale. De là, il détourne le module qui récupère les fiches de séries télé pour voler le jeton administrateur. Avec ce jeton, il pousse le transcodeur vidéo à écrire un fichier piégé dans le dossier des codecs, que Plex charge ensuite tout seul. Du code s’exécute alors sur la machine, avec les droits du compte Plex.
Zach Main note l’ensemble 10 sur 10 sur l’échelle de gravité CVSS, le maximum. Il explique avoir mené cette traque en s’appuyant largement sur des modèles d’IA, tout en prenant lui-même les décisions. Un pirate qui balaie Internet au hasard peut donc compromettre un serveur sans rien savoir de son propriétaire.
Pour l’instant, le butin reste modeste : les serveurs piratés deviennent des mineurs de cryptomonnaie (du Monero, via le logiciel XMRig), qui font tourner le ventilateur et grimper la facture. Le pot de miel n’est pas seul en cause : sur le forum de Plex, un utilisateur raconte que son conteneur s’est mis à miner du jour au lendemain.
Si les mises à jour automatiques sont actives et que le serveur affiche la version 1.43.3.10861 ou plus récente, la faille est bouchée. Les NAS Synology, QNAP, Ugreen, TerraMaster ou équivalents demandent plus d’attention, car la mise à jour passe par le gestionnaire de paquets du constructeur et peut y arriver en retard. Plex conseille alors de télécharger le paquet sur son site et de l’installer à la main.
Mettre à jour ne suffit pas si le serveur a déjà été visité. Le fichier piégé reste dans le dossier Codecs de Plex et se relance à chaque transcodage, même après avoir coupé le mineur. Si votre serveur était exposé et en retard de mise à jour, il faut y chercher des fichiers .so (ou .dll sous Windows) que vous n’y avez pas mis.
Le meilleur rempart consiste à ne pas exposer Plex directement sur Internet : un serveur accessible seulement en local ou derrière un VPN échappe à ces scans automatisés.
En 2022, le piratage géant de LastPass était passé par l’ordinateur personnel d’un ingénieur qui n’avait pas mis à jour son Plex, via une faille corrigée depuis mai 2020, qui exigeait pourtant un accès au compte de la victime. Un serveur multimédia oublié peut devenir la porte d’entrée vers bien plus sensible qu’une collection de films.
Bonne nouvelle, le correctif existe depuis le 1er septembre. Ce qui signifie qu’un serveur encore vulnérable aujourd’hui l’est le plus souvent par oubli, et les pirates comptent là-dessus. Si votre Plex regarde vers Internet, allez vérifier sa version maintenant, avant de finir dans les statistiques de Shadowserver.
Utilisez-vous Google News (Actualités en France) ? Vous pouvez suivre vos médias favoris. Suivez Frandroid sur Google.
Pour nous soutenir gratuitement, dites simplement à Google d’ajouter Frandroid à vos sources préférées en cliquant ici.
Co-fondateur et directeur de publication Frandroid
Je suis un passionné de technologie et j'ai co-fondé Frandroid pour partager cette passion avec d'autres fans de tech. Je m'intéresse aux smartphones, au monde du PC, à l'écosystème Apple mais aussi aux voitures électriques en particulier celles des marques chinoises. Suivez-moi sur X (@ulrichrozier).
C'est enregistré ! Surveillez votre boîte aux lettres, vous allez entendre parler de nous !
