La vulnerabilidad Plex2Shell permite ejecutar código de forma remota, sin autenticación, en un servidor Plex Media Server vulnerable. Un NAS, un contenedor Docker o un servidor personal debe utilizar la compilación 1.43.3.10861 o una versión posterior. La actualización bloquea la cadena de vulnerabilidades, pero no elimina el posible software malicioso ya instalado: sigue siendo necesario buscar indicios de compromiso.
¿Qué es la vulnerabilidad Plex2Shell y cuál es el riesgo real?
La vulnerabilidad Plex2Shell es una cadena de cuatro vulnerabilidades que otorga a un atacante remoto los privilegios del proceso Plex Media Server, sin solicitar una contraseña. Plex confirmó el 19 de octubre de 2026 una explotación activa y generalizada, especialmente para instalar mineros de criptomonedas y software de retransmisión de tráfico.
Plex2Shell encadena CVE-2026-96652, CVE-2026-96654, CVE-2026-96655 y CVE-2026-96656. El ataque comienza con una SSRF, es decir, una solicitud que un atacante force al servidor realizar en su nombre. A continuación, alcanza funciones internas normalmente accesibles únicamente desde la propia máquina.
La cadena divulga el token administrativo del propietario, un secreto que autoriza acciones privilegiadas. Después permite escribir un archivo en la carpeta Codecs y cargar un códec no firmado que contiene código malicioso. El investigador responsable de la publicación atribuye a la cadena completa una puntuación CVSS 3.1 de 9,8 sobre 10 en 2026.
Les détails techniques et un code de démonstration public ont été publiés le 16 octobre 2026. Dès le 17 octobre 2026, des chercheurs observaient des attaques contre des servidores obsolètes exposés à Internet. Le 20 octobre 2026, la CISA américaine a ajouté les quatre vulnérabilités à son catalogue Known Exploited Vulnerabilities, selon les informations publiées par The Hacker News le 21 octobre 2026.
Para una empresa, el problema va más allá de la biblioteca multimedia. La cuenta que ejecuta Plex puede tener acceso a recursos compartidos de red, copias de seguridad, credenciales almacenadas u otras máquinas. El mismo principio de segmentación se aplica a los dispositivos conectados: nuestro análisis sobre la protección de los dispositivos IoT expuestos explica por qué un servicio secundario puede convertirse en un punto de entrada.
¿Qué versión de Plex corrige la vulnerabilidad Plex2Shell?
Plex Media Server 1.43.3.10861, publicada el 3 de agosto de 2026, corrige la cadena completa Plex2Shell. Plex y el investigador indican que una compilación 1.43.3.10861 o posterior no es vulnerable a esta cadena. La comprobación debe porcerse sobre el número de compilación completo, y no solo sobre la mención abreviada «1.43.3».
Abra Plex Web y acceda a Ajustes y General. Compare el valor mostrado con 1.43.3.10861. Una interfaz que anuncie simplemente la rama 1.43.3 no aporta una prueba suficientemente precisa, ya que varias compilaciones pueden pertenecer a una misma versión funcional.
Plex había solicitado públicamente a los administradores que instalaran Plex Media Server 1.43.3 o una versión posterior el 1 de septiembre de 2026. Su aviso del 19 de octubre de 2026 precisó el umbral exacto y el contexto de explotación. Por parte de la organización, conviene conservar una captura de la compilación antes y después de la intervención: este sencillo registro facilita la auditoría y evita confundir la actualización del paquete con la actualización efectiva del servidor.
¿Cómo corrregir Plex2Shell en un NAS, Docker o un servidor?
La corcción de Plex2Shell depende del modo de instalación: paquete manual en un NAS si la tienda de aplicaciones se retrasa, recreación del contenedor desde una imagen reciente con Docker o instalación del paquete adecuado en un servidor convencional. En todos los casos, la operación no termina hasta confirmar en Plex Web la compilación 1.43.3.10861 o posterior.
| Instalación | Acción recomendada | Comprobación indispensable | Errores frecuentes |
|---|---|---|---|
| NAS | Descargar el paquete específico del modelo y utilizar después la instalación manual del fabricante si la tienda no ofrece aún el correctivo | Leer la compilación completa en Plex Web → Ajustes → General | Esperar únicamente a la actualización automática de la tienda |
| Estibador | Obtener una imagen actual, detener y recrear el contenedor conservando únicamente los volúmenes necesarios | Comprobar la compilación en ejecución en Plex Web después del reinicio | Reiniciar un contenedor antiguo sin actualizar su imagen |
| Servidor personal | Instalar el paquete correspondiente al sistema operativo desde el canal adecuado de Plex | Comprobar que el proceso reiniciado utiliza la compilación corrigida | Actualizar el archivo de instalación sin reiniciar el servicio |
En un NAS Synology, QNAP o de otro fabricante, el catálogo de aplicaciones puede publicar el paquete con retraso. Plex recomienda alors, desde el 19 de octubre de 2026, descargar el paquete destinado específicamente al dispositivo y seguir el procedimiento de instalación manual del fabricante. Utilizar un paquete previsto para otra arquitectura de procesador puede dejar el servicio indisponible.
Con Docker, una imagen es el modelo utilizado para crear el contenedor, mientras que el contenedor es la instancia que funciona realmente. Es necesario obtener una imagen reciente y recrear después el contenedor. Las variantes pública y beta de la imagen oficial plexinc/pms-docker buscan una versión más reciente del servidor lors que se reinician, pero sigue siendo necesario realizar la comprobación final en Plex Web.
Avant toute intervention, sauvegardez la configuración utile et documentez les volumes montés. Une sauvegarde exploitable ne consiste pas à recopier aveuglément un dossier potentiellement compromis ; la logique d’un plan de recuperación con copias aisladas ayuda a distinguir entre la restauración del servicio y la reintroducción de un incidente.
¿Cómo saber si un servidor Plex ya ha sido comprometido?
Un servidor expuesto antes de su actualización debe comprobarse aunque ya utilice Plex Media Server 1.43.3.10861. Según Plex el 19 de octubre de 2026, entre los indicios que deben buscarse se incluyen procesos secundarios desconocidos, bibliotecas sospechosas en Codecs, conexiones a proxystream.st y un consumo de procesador elevado y persistente sin explicación.
La actualización corrrige las vulnerabilidades. No demuestra que el servidor esté limpio ni desinstala automáticamente un minero XMRig, un relé de tráfico o una porta trasera ya instalada. Sinceramente, restaurar de inmediato el antiguo directorio de Plex para ahorrar tiempo es una mala decisión si no puede descartarse un compromiso.
La comprobación debe seguir un orquema claro:
- Busque procesos secundarios desconocidos asociados a Plex, especialmente los nombres señalados en 2026 por el editor:
myawesomeproxy,mylovelymineryx12345. - Inspeccione la carpeta Codecs para localizar archivos
.soen Linux o.dllen Windows que no se corresponden con la instalación esperada. - Controle las conexiones salientes, en particular hacia
proxystream.st, así como cualquier uso sostenido e inexplicable del procesador. - Examine los registros del sistema, de Docker, del NAS y de Plex para identificar creaciones de procesos, descargas o conexiones inusuales.
- Inventarie los recursos compartidos montados, los secretos y demás recursos accesibles para la cuenta de servicio de Plex durante el periodo de exposición.
Sur les projets que nous menons, nous voyons souvent un compte de service doté de permissions trop larges « pour que cela fonctionne ». Cette facilité augmente fortement l’impact d’une faille. Un serveur multimédia ne devrait recevoir qu’un accès en lecture aux bibliothèques lorsqu’aucune écriture n’est nécessaire.
Si la intrusión sigue siendo plausible, Plex recomienda en 2026 reconstruir el servidor desde una instalación limpia sin reutilizar el antiguo directorio de datos de Plex. Desconecte todos los dispositivos, cambie la contraseña de Plex y considere expuestas las credenciales, los recursos compartidos montados y los recursos accesibles para el servicio. Las herramientas gratuitas de control de seguridad pueden complementar el análisis, pero no sustituyen un examen del sistema afectado.
¿Se debe seguir exponiendo Plex a Internet después de la actualización?
El acceso remoto a Plex debe desactivarse cuando no aporte un beneficio empresarial o personal claro. Plex recomienda en 2026 evitar el reenvío directo del puerto TCP 32400 desde el router. Una compilación corregida reduce el riesgo relacionado con Plex2Shell, pero limitar la exposición a Internet sigue siendo una protección duradera frente a futuras vulnerabilidades.
Publicar el puerto 32400 de un contenedor de Docker y reenviarlo en el router hace que el servicio sea accesible desde el exterior, como confirma la documentación oficial de la imagen de Plex. Un cortafuegos local no compensa necesariamente una regla de reenvío demasiado amplia. Por tanto, compruebe tanto Docker como el cortafuegos del NAS y la interfaz del router.
Si el acceso remoto es indispensable, restrinja las cuentas, active la autenticación multifactor cuando el servicio la ofrezca y separe Plex de los datos profesionales. Una VPN de acceso privado puede evitar la exposición directa del servicio, siempre que se mantenga y configure correctamente. En su defecto, es preferible renunciar al acceso remoto antes que mantener un puerto público olvidado.
La vulnerabilidad Plex2Shell también recuerda que un proveedor o un servicio periférico puede acceder a datos más sensibles de lo previsto. Un método de control de los accesos concedidos a proveedores y servicios de terceros permite inventariar los permisos, los secretos y las responsabilidades antes del incidente.
Definir la actualización, el análisis de la intrusión y la segmentación de la red evita tratar por separado tres aspectos de un mismo riesgo. Una perspectiva externa puede ser especialmente útil cuando haya que decidir entre la limpieza, la restauración controlada y la reconstrucción completa del servidor.
Preguntas frecuentes sobre la seguridad de Plex Media Server
¿Basta con reiniciar un contenedor de Docker para actualizar Plex?
Un simple reinicio no basta si el contenedor vuelve a iniciarse a partir de una imagen antigua. Hay que obtener una imagen actual o utilizar el mecanismo previsto por la imagen oficial, recrear el contenedor y, después, confirmar en Plex Web una compilación 1.43.3.10861 o posterior.
¿La actualización de Plex elimina un minero de criptomonedas?
La actualización de Plex Media Server no elimina automáticamente ningún software malicioso ya instalado. En caso de duda, Plex recomienda en 2026 realizar una reconstrucción limpia sin reutilizar el directorio de datos antiguo.
¿Debe estar abierto en el router el port 32400 de Plex?
El puerto TCP 32400 no debe redirigirse directamente si no es necesario el acceso remoto. Plex recomienda en 2026 desactivar Remote Access en este caso para reducir la exposición a ataques de Internet.
¿Basta con cambiar la contraseña de Plex después de una intrusión?
Cambiar la contraseña de Plex no basta tras una presunta intrusión. Plex también recomienda desconectar todos los dispositivos y considerar que los recursos compartidos, las credenciales y otros recursos accesibles para la cuenta de servicio podrían haberse visto expuestos.