Veille menaces / Faille
Plex2Shell : quatre failles Plex enchaînées pour prendre la main sur des serveurs et des NAS
Quatre failles de Plex Media Server s'enchaînent pour exécuter du code à distance sans authentification. Plex indique qu'elles sont « activement et largement exploitées » pour installer des mineurs de cryptomonnaie et des logiciels proxy, et QNAP signale que des NAS de clients ont été compromis ainsi. Le correctif : Plex Media Server 1.43.3.10861 ou plus récent.
- Secteur
- Tous secteurs
- Point d'entrée
- Faille logicielle
- Produit ou fournisseur
- Plex Media Server, QNAP
- Comment c'est arrivé
- Selon Plex, les quatre failles enchaînées permettent à « un attaquant distant non authentifié d'exécuter du code avec les privilèges du processus Plex Media Server ». Les serveurs joignables depuis Internet en version 1.43.2 ou antérieure sont exposés.[1] Vérifié le 8 nov. 2026
- Ce qui a été volé
- Plex indique que les serveurs compromis « ont servi à faire tourner des mineurs de cryptomonnaie et des logiciels proxy ». Aucun vol de données n'a été signalé, mais Plex prévient que tout ce que le compte de service Plex peut atteindre, comme les partages montés et les identifiants stockés, peut être exposé.[1] Vérifié le 8 nov. 2026
- Qui est touché
- Les propriétaires de Plex Media Server en version 1.43.2 ou antérieure, dont des utilisateurs de NAS QNAP. QNAP dit avoir « reçu des signalements de certains utilisateurs » dont le serveur Plex semble compromis. Aucun nombre de serveurs touchés n'est public.[1][2] Vérifié le 8 nov. 2026
- Acteur
- Non attribué
- CVE
- CVE-2026-96652, CVE-2026-96654, CVE-2026-96655, CVE-2026-96656
Chronologie
- Le chercheur Zach Main publie tous les détails techniques des failles Plex2Shell, selon BleepingComputer. La version 1.43.3.10861, qui les corrige, était sortie le 4 août. [3]
- Les premiers signalements d'exploitation de Plex2Shell apparaissent, selon BleepingComputer. [3]
- La CISA ajoute les quatre failles à son catalogue des vulnérabilités exploitées et donne trois jours aux agences fédérales américaines pour mettre à jour, selon BleepingComputer. [2][3]
- QNAP publie un avis : des utilisateurs signalent que Plex semble compromis sur leur NAS via Plex2Shell. QNAP précise que ses propres systèmes (QTS, QuTS hero) ne sont pas touchés et renvoie vers Plex 1.43.3.10861 dans son App Center. [2][4]
- Plex indique que les failles sont « activement et largement exploitées ». L'éditeur conseille à tout propriétaire dont le serveur était joignable depuis Internet dans une ancienne version de « considérer qu'il est peut-être compromis », de le réinstaller proprement, de déconnecter tous les appareils et de changer le mot de passe Plex. [1]