// CLUBIC — CYBERSECURITY
Plex corrige plusieurs failles dans Media Server et appelle ses utilisateurs à agir sans attendre
Plex appelle ses utilisateurs et utilisatrices à mettre à jour leurs installations en urgence. Une nouvelle alerte de sécurité à prendre au sérieux, d’autant que l’éditeur a déjà procédé de la même manière par le passé.
Plex préfère visiblement ne pas attendre la publication des détails techniques. Après la découverte de plusieurs failles de sécurité, l’entreprise a contacté directement les utilisateurs et utilisatrices concernés pour leur demander de mettre à jour Plex Media Server et Plex Desktop au plus vite. Les correctifs sont déjà disponibles, respectivement dans les versions 1.43.3 et 1.115.0. Pour le reste, l’éditeur ne dit encore presque rien.
On ignore ainsi la nature exacte des vulnérabilités, leur niveau de gravité et les conséquences possibles d’une exploitation. Plex n’a pas encore publié d’identifiants CVE, mais indique en avoir fait la demande et promet davantage de détails une fois ceux-ci attribués.
Aucun élément ne permet non plus d’affirmer que les failles sont déjà exploitées dans des attaques. Leur portée potentielle mérite néanmoins l’attention : au moment de nos vérifications, Censys recensait plus de 364 000 hôtes exposant un service Plex Media Server sur Internet. Tous ne sont évidemment pas vulnérables, puisque la recherche ne tient pas compte de la version installée, mais le chiffre donne une idée de la surface d’exposition du logiciel.
Plex presse en parallèle les personnes concernées de corriger leur installation, allant jusqu’à leur envoyer directement un mail d’alerte. Sur les NAS, l’éditeur recommande même de télécharger et d’installer manuellement la nouvelle version de Plex Media Server si le gestionnaire de paquets ne la propose pas encore. Sous Linux, la consigne se heurte toutefois à un retard côté Flatpak : Flathub propose toujours Plex Desktop 1.112.0, alors que Plex demande de passer à la version 1.115.0. Interpellé à ce sujet sur le forum de l’éditeur, un employé a indiqué que l’équipe travaillait à sa mise à jour.
Le temps peut désormais jouer en faveur d'éventuels attaquants. Une fois les correctifs diffusés, leur analyse peut les aider à repérer les modifications apportées au code et à remonter jusqu’aux failles, avant même que Plex n’en publie les détails.
Pour rappel, l’éditeur avait déjà procédé de la sorte l’année dernière. En août 2025, il avait contacté directement les propriétaires de serveurs concernés par une vulnérabilité encore peu documentée et les avait invités à appliquer rapidement le patch disponible. Référencée par la suite sous le numéro CVE-2025-34158 et notée 8,5/10 sur l’échelle CVSS, elle permettait à une personne disposant déjà d’un accès limité de récupérer le jeton d’authentification du propriétaire du serveur. Un précédent qui invite, cette fois encore, à ne pas laisser traîner la mise à jour.