Plex2Shell : les serveurs Plex non à jour attaqués

Un correctif disponible depuis l'été, une exploitation en quelques heures. Baptisée Plex2Shell, une chaîne de quatre failles de Plex Media Server permet à un attaquant non authentifié d'exécuter du code sur un serveur exposé à Internet. Le 19 octobre 2026, Plex a confirmé que ces vulnérabilités étaient « activement et largement exploitées ». Le lendemain, l'agence américaine CISA les a ajoutées à son catalogue des failles connues pour être exploitées (KEV). Les serveurs antérieurs à la version 1.43.3.10861 sont concernés.

Une chaîne de quatre failles

Selon l'avis de Plex et The Hacker News, la chaîne a été signalée à l'éditeur le 27 juillet par le chercheur Zach Main. Elle combine :

• CVE-2026-96652 : une falsification de requête côté serveur (SSRF) sans authentification sur l'endpoint /player/timeline ;
• CVE-2026-96654 : un accès à des fonctions internes des agents via l'interface de bouclage locale ;
• CVE-2026-96655 : une divulgation du jeton d'administration du propriétaire du serveur ;
• CVE-2026-96656 : l'écriture d'un fichier arbitraire dans le dossier Codecs via les préférences du transcodeur.

Enchaînées, elles permettent d'exécuter du code avec les privilèges du processus Plex Media Server. Le score le plus élevé, 8,6 en CVSS 4.0, concerne la dernière faille, qui aboutit au chargement d'une bibliothèque malveillante lors d'un transcodage.

Des attaques un jour après la preuve de concept

Le correctif n'est pas nouveau : dès le 1er septembre, Plex appelait ses utilisateurs à installer la version 1.43.3 de Plex Media Server, sans détailler les failles corrigées. C'est la publication du code d'exploitation et de l'analyse technique, le 16 octobre, qui a changé la donne. D'après The Hacker News, une première exploitation a été observée dès le lendemain sur un serveur leurre tenu par un chercheur.

Les attaquants déploient des mineurs de cryptomonnaie et un logiciel de proxy qui fait transiter le trafic de tiers par la connexion de la victime. Plex cite les noms de processus myawesomeproxy, mylovelyminer et x12345.

Que faire

Plex recommande de vérifier la version dans Plex Web (Paramètres, Général) et de passer à la 1.43.3.10861 ou ultérieure. L'éditeur va plus loin : tout serveur plus ancien accessible depuis Internet doit être considéré comme potentiellement compromis. Une mise à jour ne supprime pas une infection déjà en place.

Les indices à rechercher, selon l'avis de Plex :

• des processus inconnus lancés par Plex Media Server ;
• des fichiers .so ou .dll inhabituels dans le dossier Codecs ;
• des connexions sortantes vers le domaine proxystream.st ;
• une forte consommation de processeur alors qu'aucune lecture n'est en cours.

En cas de doute, Plex conseille de reconstruire le serveur à partir d'une installation propre plutôt que de réutiliser l'ancien dossier de données. À défaut, il faut au minimum vider le dossier Codecs, contrôler les options du transcodeur dans Preferences.xml, déconnecter tous les appareils et changer le mot de passe du compte Plex. Les partages réseau montés et les identifiants accessibles au compte de service Plex doivent aussi être considérés comme exposés.

Enfin, si l'accès distant n'est pas indispensable, mieux vaut le désactiver et ne pas rediriger directement le port 32400. Comme pour les failles AhsayCBS, l'écart entre correctif et mise à jour effective reste la principale fenêtre d'attaque. Pour les machines qui hébergent aussi des données personnelles, c'est l'occasion de vérifier ses sauvegardes selon la règle 3-2-1.