Respuesta KEV de octubre de 2026 para Plex Media Server: actualizar, revisar la exposición y recuperar equipos comprometidos

Qué es

Estado al 25 de octubre de 2026. CISA añadió CVE-2026-96652, CVE-2026-96654, CVE-2026-96655 y CVE-2026-96656 a KEV el 20 de octubre de 2026. Abarcan falsificación de solicitudes del lado del servidor, acceso a funciones internas y deficiencias en la escritura de archivos. El aviso de seguridad de Plex se publicó inicialmente el 1 de septiembre; su actualización del 19 de octubre de 2026 confirma la explotación activa e identifica 1.43.3.10861 como la versión de referencia no afectada del servidor. Volver a consultar ese aviso, las versiones posteriores y cada acción de KEV antes de dar por completada la corrección.

Por qué importa

Los componentes afectados están en el servidor. Actualizar una aplicación de reproducción para televisión o escritorio no demuestra que el servidor haya cambiado. Plex aconseja considerar potencialmente comprometido un servidor antiguo accesible desde Internet. Por tanto, una actualización correcta debe registrarse por separado de la evaluación de integridad.

CISA indica fechas límite distintas: el 23 de octubre de 2026 para CVE-2026-96654 y CVE-2026-96656, y el 3 de noviembre de 2026 para CVE-2026-96652 y CVE-2026-96655. No asignar a todo el grupo la fecha más tardía. Registrar los requisitos aplicables de la directiva por separado de las prioridades de incidentes y parches de la organización.

Cómo aplicarlo

• Registrar las pruebas del servidor. En Plex Web, inspeccionar Ajustes > General y capturar la versión completa del servidor. Enumerar todos los equipos, paquetes de NAS y contenedores que ejecuten un servidor. Determinar a qué instancia accede cada cliente antes de evaluar su estado.
• Reducir la exposición. Desactivar el acceso remoto que no sea necesario. Plex documenta tanto las asignaciones automáticas del router mediante UPnP o NAT-PMP como el reenvío manual de puertos. Como comprobación de contención, inspeccionar esas asignaciones, los proxies inversos y los firewalls del equipo para el servidor propio; eliminar la exposición no deseada y verificar el resultado desde una ubicación externa autorizada. No desactivar los firewalls para diagnosticar problemas de una instalación sin parches.
• Instalar el paquete correcto del servidor. Obtener un paquete actual específico para la plataforma mediante la vía oficial de distribución de Plex. Para un paquete Debian, la forma de instalación documentada es sudo dpkg -i ./plexmediaserver.deb, sustituyendo el nombre de archivo del ejemplo por el del paquete realmente descargado. Seguir el procedimiento independiente del proveedor para NAS o contenedores. Después de reiniciar el servidor, verificar que la versión en ejecución alcance la versión de seguridad de referencia o una versión posterior con soporte.
• Investigar los indicios publicados. Plex identifica binarios desconocidos en el directorio Codecs, procesos hijo inesperados y conexiones a proxystream.st. Conservar las pruebas de procesos, red y archivos antes de limpiar. Comparar las observaciones con el aviso fechado e investigar la actividad sin explicación, en lugar de suponer que la coincidencia de un nombre de archivo es concluyente.
• Recuperar y proteger la cuenta. Cuando no se pueda descartar un compromiso, Plex recomienda reconstruir desde cero, cerrar todas las sesiones de la cuenta y cambiar la contraseña. Revisar a qué podía acceder el servicio. Desde un dispositivo limpio, inspeccionar los dispositivos autorizados y eliminar las entradas desconocidas. Plex documenta que los dispositivos eliminados deben volver a iniciar sesión para registrarse de nuevo. Habilitar la autenticación de dos factores de la cuenta y guardar sus códigos de recuperación en un lugar accesible sin el dispositivo autenticador.
• Verificar el servicio restaurado. Documentar la nueva versión del servidor, la configuración elegida de acceso remoto y la lista de dispositivos de la cuenta. Probar la reproducción normal y las integraciones necesarias. Mantener un registro del incidente que vincule las pruebas conservadas, las decisiones de recuperación y las credenciales de servicio que se hayan rotado por haber quedado expuestas.

Trampas

Una demora del gestor de paquetes de un NAS no demuestra que un paquete antiguo sea seguro. No volver a conectar un servidor reconstruido a un directorio de datos que se sospecha contaminado sin revisarlo. La autenticación de dos factores refuerza los futuros inicios de sesión; no demuestra la integridad del servidor. Plex también advierte de que cambiar entre miembros de Plex Home no genera una solicitud adicional de autenticación de dos factores. La ausencia de indicadores por sí sola no demuestra que un equipo expuesto nunca haya sido comprometido.