La faille Plex2Shell permet d’exécuter du code à distance, sans authentification, sur un serveur Plex Media Server vulnérable. Un NAS, un conteneur Docker ou un serveur personnel doit utiliser la build 1.43.3.10861 ou une version ultérieure. La mise à jour bloque la chaîne de failles, mais ne supprime pas un éventuel logiciel malveillant déjà installé : une recherche de compromission reste nécessaire.
Qu’est-ce que la faille Plex2Shell et quel est le risque réel ?
La faille Plex2Shell est une chaîne de quatre vulnérabilités qui donne à un attaquant distant les droits du processus Plex Media Server, sans demander de mot de passe. Plex a confirmé le 19 octobre 2026 une exploitation active et étendue, notamment pour installer des mineurs de cryptomonnaie et des logiciels de relais de trafic.
Plex2Shell enchaîne CVE-2026-96652, CVE-2026-96654, CVE-2026-96655 et CVE-2026-96656. L’attaque commence par une SSRF, c’est-à -dire une requête qu’un attaquant force le serveur à effectuer à sa place. Elle atteint ensuite des fonctions internes normalement accessibles uniquement depuis la machine elle-même.
La chaîne divulgue le jeton administratif du propriétaire, un secret qui autorise les actions privilégiées. Elle permet ensuite d’écrire un fichier dans le dossier Codecs, puis de charger un codec non signé contenant du code malveillant. Le chercheur à l’origine de la publication attribue à la chaîne complète un score CVSS 3.1 de 9,8 sur 10 en 2026.
Les détails techniques et un code de démonstration public ont été publiés le 16 octobre 2026. Dès le 17 octobre 2026, des chercheurs observaient des attaques contre des serveurs obsolètes exposés à Internet. Le 20 octobre 2026, la CISA américaine a ajouté les quatre vulnérabilités à son catalogue Known Exploited Vulnerabilities, selon les informations publiées par The Hacker News le 21 octobre 2026.
Pour une entreprise, le problème dépasse la bibliothèque multimédia. Le compte qui exécute Plex peut avoir accès à des partages réseau, des sauvegardes, des identifiants stockés ou d’autres machines. Le même principe de cloisonnement s’applique aux objets connectés : notre analyse sur la sécurisation des équipements IoT exposés explique pourquoi un service secondaire peut devenir un point d’entrée.
Quelle version de Plex corrige la faille Plex2Shell ?
Plex Media Server 1.43.3.10861, publié le 3 août 2026, corrige la chaîne complète Plex2Shell. Plex et le chercheur indiquent qu’une build 1.43.3.10861 ou ultérieure n’est pas vulnérable à cet enchaînement. La vérification doit porter sur le numéro de build complet, et pas seulement sur la mention abrégée « 1.43.3 ».
Ouvrez Plex Web, puis accédez à Réglages et Général. Comparez la valeur affichée avec 1.43.3.10861. Une interface annonçant simplement la branche 1.43.3 n’apporte pas une preuve assez précise, car plusieurs builds peuvent appartenir à une même version fonctionnelle.
Plex avait publiquement demandé aux administrateurs d’installer Plex Media Server 1.43.3 ou une version ultérieure le 1er septembre 2026. Son avis du 19 octobre 2026 a précisé le seuil exact et le contexte d’exploitation. Côté agence, le réflexe est de conserver une capture de la build avant et après intervention : cette trace simple facilite l’audit et évite de confondre mise à jour du paquet et mise à jour effective du serveur.
Comment corriger Plex2Shell sur un NAS, Docker ou un serveur ?
La correction de Plex2Shell dépend du mode d’installation : paquet manuel sur un NAS si le magasin d’applications tarde, recréation du conteneur depuis une image récente avec Docker, ou installation du paquet adapté sur un serveur classique. Dans tous les cas, l’opération n’est terminée qu’après confirmation de la build 1.43.3.10861 ou ultérieure dans Plex Web.
| Installation | Action recommandée | Contrôle indispensable | Erreur fréquente |
|---|---|---|---|
| NAS | Télécharger le paquet propre au modèle, puis utiliser l’installation manuelle du fabricant si le magasin ne propose pas encore le correctif | Lire la build complète dans Plex Web → Réglages → Général | Attendre uniquement la mise à jour automatique du magasin |
| Docker | Récupérer une image actuelle, arrêter puis recréer le conteneur en conservant uniquement les volumes nécessaires | Contrôler la build exécutée dans Plex Web après le redémarrage | Redémarrer un ancien conteneur sans actualiser son image |
| Serveur personnel | Installer le paquet correspondant au système d’exploitation depuis le canal Plex approprié | Vérifier que le processus relancé utilise la build corrigée | Mettre à jour le fichier d’installation sans relancer le service |
Sur un NAS Synology, QNAP ou d’un autre fabricant, le catalogue d’applications peut publier le paquet avec un décalage. Plex recommande alors, depuis le 19 octobre 2026, de télécharger le paquet destiné précisément à l’appareil et de suivre la procédure d’installation manuelle du constructeur. Utiliser un paquet prévu pour une autre architecture de processeur peut rendre le service indisponible.
Avec Docker, une image est le modèle servant à créer le conteneur, tandis que le conteneur est l’instance qui fonctionne réellement. Il faut récupérer une image récente, puis recréer le conteneur. Les variantes public et beta de l’image officielle plexinc/pms-docker recherchent une version plus récente du serveur lorsqu’elles redémarrent, mais le contrôle final dans Plex Web reste nécessaire.
Avant toute intervention, sauvegardez la configuration utile et documentez les volumes montés. Une sauvegarde exploitable ne consiste pas à recopier aveuglément un dossier potentiellement compromis ; la logique d’un plan de reprise avec des copies isolées aide à distinguer restauration de service et réintroduction d’un incident.
Comment savoir si un serveur Plex a déjà été compromis ?
Un serveur exposé avant sa mise à jour doit être contrôlé même s’il utilise désormais Plex Media Server 1.43.3.10861. Selon Plex le 19 octobre 2026, les signes à rechercher comprennent des processus enfants inconnus, des bibliothèques suspectes dans Codecs, des connexions à proxystream.st et une consommation durable de processeur sans explication.
La mise à jour ferme les vulnérabilités corrigées. Elle ne prouve pas que le serveur est sain et ne désinstalle pas automatiquement un mineur XMRig, un relais de trafic ou une porte dérobée déjà déposée. Honnêtement, restaurer immédiatement l’ancien répertoire Plex pour gagner du temps est une mauvaise décision si une compromission ne peut pas être exclue.
La vérification doit suivre un ordre clair :
- Recherchez les processus enfants inconnus associés à Plex, notamment les noms signalés en 2026 par l’éditeur :
myawesomeproxy,mylovelymineretx12345. - Inspectez le dossier Codecs pour repérer des fichiers
.sosous Linux ou.dllsous Windows qui ne correspondent pas à l’installation attendue. - Contrôlez les connexions sortantes, en particulier vers
proxystream.st, ainsi que toute utilisation soutenue et inexpliquée du processeur. - Examinez les journaux du système, de Docker, du NAS et de Plex afin d’identifier les créations de processus, téléchargements ou connexions inhabituels.
- Inventoriez les partages montés, secrets et autres ressources accessibles au compte de service Plex pendant la période d’exposition.
Sur les projets que nous menons, nous voyons souvent un compte de service doté de permissions trop larges « pour que cela fonctionne ». Cette facilité augmente fortement l’impact d’une faille. Un serveur multimédia ne devrait recevoir qu’un accès en lecture aux bibliothèques lorsqu’aucune écriture n’est nécessaire.
Si la compromission reste plausible, Plex recommande en 2026 de reconstruire le serveur depuis une installation propre sans réutiliser l’ancien répertoire de données Plex. Déconnectez tous les appareils, changez le mot de passe Plex et considérez comme exposés les identifiants, partages montés et ressources accessibles par le service. Les outils gratuits de contrôle de sécurité peuvent compléter l’analyse, sans remplacer un examen du système touché.
Faut-il encore exposer Plex à Internet après la mise à jour ?
L’accès distant à Plex doit être désactivé lorsqu’il n’apporte pas de bénéfice métier ou personnel clair. Plex recommande en 2026 d’éviter la redirection directe du port TCP 32400 depuis le routeur. Une build corrigée réduit le risque lié à Plex2Shell, mais limiter l’exposition Internet reste une protection durable contre de futures vulnérabilités.
Publier le port 32400 d’un conteneur Docker et le rediriger sur le routeur rend le service joignable depuis l’extérieur, comme le confirme la documentation officielle de l’image Plex. Un pare-feu local ne compense pas forcément une règle de redirection trop large. Vérifiez donc à la fois Docker, le pare-feu du NAS et l’interface du routeur.
Si l’accès distant est indispensable, restreignez les comptes, activez l’authentification multifacteur lorsque le service la propose et séparez Plex des données professionnelles. Un VPN d’accès privé peut éviter l’exposition directe du service, à condition d’être lui-même maintenu et correctement configuré. À défaut, mieux vaut renoncer à l’accès distant que conserver un port public oublié.
La faille Plex2Shell rappelle aussi qu’un prestataire ou un service périphérique peut atteindre des données plus sensibles que prévu. Une méthode de contrôle des accès accordés aux prestataires et services tiers permet d’inventorier les permissions, les secrets et les responsabilités avant l’incident.
Cadrer la mise à jour, l’analyse de compromission et la segmentation du réseau évite de traiter séparément trois aspects d’un même risque. Un regard extérieur peut surtout aider lorsqu’il faut décider entre nettoyage, restauration contrôlée et reconstruction complète du serveur.
FAQ sur la sécurité de Plex Media Server
Redémarrer un conteneur Docker suffit-il à mettre Plex à jour ?
Un simple redémarrage ne suffit pas si le conteneur repart d’une image ancienne. Il faut récupérer une image actuelle ou utiliser le mécanisme prévu par l’image officielle, recréer le conteneur, puis confirmer dans Plex Web une build 1.43.3.10861 ou ultérieure.
La mise à jour de Plex supprime-t-elle un mineur de cryptomonnaie ?
La mise à jour de Plex Media Server ne supprime pas automatiquement un logiciel malveillant déjà installé. En cas de doute, Plex recommande en 2026 une reconstruction propre sans réutilisation de l’ancien répertoire de données.
Le port 32400 de Plex doit-il être ouvert sur le routeur ?
Le port TCP 32400 ne doit pas être redirigé directement si l’accès distant n’est pas nécessaire. Plex recommande en 2026 de désactiver Remote Access dans ce cas afin de réduire l’exposition aux attaques Internet.
Changer le mot de passe Plex suffit-il après une intrusion ?
Changer le mot de passe Plex ne suffit pas après une intrusion présumée. Plex recommande aussi de déconnecter tous les appareils et de considérer les partages, identifiants et autres ressources accessibles au compte de service comme potentiellement exposés.