On installe Plex pour regarder sa collection de films à distance. Pour ça, on ouvre un port sur sa box, et on n’y pense plus. Ce petit serveur reste pourtant joignable depuis Internet en permanence, et des pirates scannent justement les ports ouverts à la recherche de machines oubliées.
Le 1er septembre 2026, Plex a demandé à tous les propriétaires de serveurs de passer en version 1.43.3, par une alerte sur son forum et un e-mail direct. L’éditeur avait déjà procédé ainsi en août 2025 pour la faille CVE-2025-34158. Attention au numéro exact : seule la version 1.43.3.10861 ou plus récente corrige le problème. Quatre identifiants ont été attribués le 23 septembre : CVE-2026-96652, 96654, 96655 et 96656.
Le chercheur Zach Main avait signalé ces failles à Plex dès le 27 juillet, contre une prime de 500 dollars (environ 430 €). Ce vendredi 16 octobre, il a publié son analyse complète et son code de démonstration. Dès le lendemain, un autre chercheur voyait son pot de miel, un faux serveur Plex laissé en pâture, attaqué avec ce code. Début septembre, la fondation Shadowserver recensait déjà plus de 36 000 serveurs Plex exposés et non corrigés.
Quatre failles enchaînées, aucun mot de passe nécessaire
L’attaque ne demande aucun identifiant valide : il suffit que le serveur soit joignable sur son port 32400. L’attaquant présente d’abord un jeton bidon, que Plex accepte parce qu’il vérifie seulement que le champ existe. Il force ensuite le serveur à s’envoyer une requête à lui-même, ce qui ouvre une interface interne réservée à la machine locale. De là, il détourne le module qui récupère les fiches de séries télé pour voler le jeton administrateur. Avec ce jeton, il pousse le transcodeur vidéo à écrire un fichier piégé dans le dossier des codecs, que Plex charge ensuite tout seul. Du code s’exécute alors sur la machine, avec les droits du compte Plex.
Zach Main note l’ensemble 10 sur 10 sur l’échelle de gravité CVSS, le maximum. Il explique avoir mené cette traque en s’appuyant largement sur des modèles d’IA, tout en prenant lui-même les décisions. Un pirate qui balaie Internet au hasard peut donc compromettre un serveur sans rien savoir de son propriétaire.
Pour l’instant, le butin reste modeste : les serveurs piratés deviennent des mineurs de cryptomonnaie (du Monero, via le logiciel XMRig), qui font tourner le ventilateur et grimper la facture. Le pot de miel n’est pas seul en cause : sur le forum de Plex, un utilisateur raconte que son conteneur s’est mis à miner du jour au lendemain.
Le plus gênant est ailleurs. Beaucoup de serveurs Plex tournent sur des connexions résidentielles, et une adresse IP de particulier permet à un attaquant de masquer son trafic. Sur le pot de miel, un logiciel de proxy baptisé myawesomeproxy s’est installé en plus du mineur, en prévenant au passage que le trafic Internet de la machine pourrait être réutilisé. Votre box sert alors de couverture à des activités dont vous ignorez tout.
Que faire si on utilise Plex
Si les mises à jour automatiques sont actives et que le serveur affiche la version 1.43.3.10861 ou plus récente, la faille est bouchée. Les NAS Synology, QNAP, Ugreen, TerraMaster ou équivalents demandent plus d’attention, car la mise à jour passe par le gestionnaire de paquets du constructeur et peut y arriver en retard. Plex conseille alors de télécharger le paquet sur son site et de l’installer à la main.
Mettre à jour ne suffit pas si le serveur a déjà été visité. Le fichier piégé reste dans le dossier Codecs de Plex et se relance à chaque transcodage, même après avoir coupé le mineur. Si votre serveur était exposé et en retard de mise à jour, il faut y chercher des fichiers .so (ou .dll sous Windows) que vous n’y avez pas mis.
Le meilleur rempart consiste à ne pas exposer Plex directement sur Internet : un serveur accessible seulement en local ou derrière un VPN échappe à ces scans automatisés.
En 2022, le piratage géant de LastPass était passé par l’ordinateur personnel d’un ingénieur qui n’avait pas mis à jour son Plex, via une faille corrigée depuis mai 2020, qui exigeait pourtant un accès au compte de la victime. Un serveur multimédia oublié peut devenir la porte d’entrée vers bien plus sensible qu’une collection de films.
Bonne nouvelle, le correctif existe depuis le 1er septembre. Ce qui signifie qu’un serveur encore vulnérable aujourd’hui l’est le plus souvent par oubli, et les pirates comptent là-dessus. Si votre Plex regarde vers Internet, allez vérifier sa version maintenant, avant de finir dans les statistiques de Shadowserver.
Un petit geste pour Frandroid ? Abonnez-vous à Frandroid sur Google pour ne manquer aucun de nos articles.
Et le second meilleur moyen de nous donner un coup de pouce, c’est d’ajouter Frandroid à vos sources préférées sur Google.
Ce contenu est bloqué car vous n'avez pas accepté les cookies et autres traceurs. Ce contenu est fourni par Disqus.
Pour pouvoir le visualiser, vous devez accepter l'usage étant opéré par Disqus avec vos données qui pourront être utilisées pour les finalités suivantes : vous permettre de visualiser et de partager des contenus avec des médias sociaux, favoriser le développement et l'amélioration des produits d'Humanoid et de ses partenaires, vous afficher des publicités personnalisées par rapport à votre profil et activité, vous définir un profil publicitaire personnalisé, mesurer la performance des publicités et du contenu de ce site et mesurer l'audience de ce site (en savoir plus)
En cliquant sur « J’accepte tout », vous consentez aux finalités susmentionnées pour l’ensemble des cookies et autres traceurs déposés par Humanoid et .
Vous gardez la possibilité de retirer votre consentement à tout moment. Pour plus d’informations, nous vous invitons à prendre connaissance de notre Politique cookies.