Des serveurs Plex piratés pour miner de la crypto : la mise à jour à vérifier

Des serveurs Plex non mis à jour sont visés par des attaques capables d’installer des logiciels malveillants. La chaîne de failles, baptisée Plex2Shell, permet d’exécuter du code à distance sans disposer d’identifiants valides. Si votre serveur multimédia est accessible depuis Internet, vérifiez sa version sans attendre.

Le correctif est disponible depuis plusieurs semaines. Pour cette chaîne de vulnérabilités, la version corrigée à retenir est Plex Media Server 1.43.3.10861 : installez cette version ou une version plus récente. Attention à contrôler le numéro du serveur, pas celui de l’application utilisée pour regarder vos films.

Un serveur multimédia transformé en machine à miner

Les détails de Plex2Shell et un code de démonstration ont été publiés le 16 octobre. Dès le lendemain, l’exploitant d’un serveur-piège a observé une attaque contre son installation. Il y a identifié un mineur de cryptomonnaie et un programme de proxy, permettant de faire transiter du trafic tiers par la connexion de la victime.

Ces observations montrent une exploitation concrète, mais ne donnent pas un bilan du nombre de machines compromises. Il serait donc excessif d’affirmer que tous les serveurs Plex ont été piratés.

Le problème dépasse néanmoins le simple ralentissement des vidéos : l’attaquant peut exécuter du code avec les droits du service Plex. Les fichiers et ressources accessibles à ce service entrent alors dans le périmètre à examiner.

Quatre failles combinées, un correctif déjà disponible

Plex2Shell associe les vulnérabilités CVE-2026-96652, CVE-2026-96654, CVE-2026-96655 et CVE-2026-96656. Leur combinaison permet de détourner des fonctions internes du serveur jusqu’au chargement de code malveillant. Changer uniquement son mot de passe ne corrige donc pas ces failles logicielles.

Plex avait publié une alerte le 1er septembre, en demandant aux propriétaires de serveurs d’installer les dernières mises à jour. L’éditeur signalait aussi que les boutiques d’applications des NAS pouvaient proposer les paquets corrigés avec du retard.

À mes yeux, c’est le piège classique du serveur domestique : tant que la lecture fonctionne, on oublie facilement qu’un logiciel accessible depuis Internet doit être entretenu comme n’importe quel autre service exposé.

Les vérifications à faire maintenant

• Contrôlez la version complète de Plex Media Server et installez la dernière version adaptée à votre appareil. La mention « 1.43.3 » seule manque de précision : vérifiez aussi les chiffres qui suivent.
• Sur un NAS, vérifiez le paquet réellement installé. Si la boutique est en retard, Plex prévoit une installation manuelle avec le paquet officiel correspondant au modèle et à son architecture.
• Avec Docker, vérifiez la version qui tourne effectivement. Redémarrer un ancien conteneur ne prouve pas que son logiciel a été mis à jour.
• Examinez l’exposition réseau. Si l’accès distant ne vous sert pas, fermez les accès publics inutiles, y compris les éventuelles redirections sur le routeur.

Un serveur limité au réseau local n’est pas exposé de la même façon aux attaques directes depuis Internet. Cela ne dispense pas d’installer le correctif.

Déjà piraté ? La mise à jour n’efface pas l’intrusion

Une charge processeur inhabituelle, du trafic inexpliqué ou des processus inconnus doivent conduire à une vérification. Ces symptômes ne prouvent pas à eux seuls une attaque : Plex peut aussi consommer beaucoup de ressources pendant un transcodage.

Si une compromission est confirmée, corriger la faille ne garantit pas que la machine est redevenue saine. Isolez-la du réseau, conservez les journaux utiles et préparez une restauration depuis un état fiable. Les identifiants et jetons potentiellement exposés doivent également être renouvelés depuis un appareil sain.

La priorité est donc double : mettre à jour les serveurs encore vulnérables et traiter séparément ceux qui présentent des traces d’intrusion. Un numéro de version récent ferme cette porte d’entrée ; il ne constitue pas un certificat de nettoyage.