Plex Media Server, KEV d’octobre 2026 : mettre à jour, examiner l’exposition et restaurer les hôtes compromis

Ce que c'est

État au 25 octobre 2026. CISA a ajouté CVE-2026-96652, CVE-2026-96654, CVE-2026-96655 et CVE-2026-96656 au catalogue KEV le 20 octobre 2026. Elles concernent la falsification de requêtes côté serveur, l’accès à des fonctions internes et des faiblesses permettant l’écriture de fichiers. L’avis de sécurité de Plex a été publié initialement le 1er septembre ; sa mise à jour du 19 octobre 2026 confirme une exploitation active et indique 1.43.3.10861 comme version de référence du serveur non affectée. Consulter à nouveau cet avis, les versions ultérieures et chaque action KEV avant de clôturer la remédiation.

Pourquoi c'est important

Le serveur héberge les composants touchés. Mettre à jour une application de lecture sur téléviseur ou ordinateur ne prouve pas que le serveur a changé. Plex recommande de considérer tout serveur plus ancien accessible depuis Internet comme potentiellement compromis. Une mise à jour réussie doit donc être consignée séparément de l’évaluation d’intégrité.

CISA indique des échéances différentes : le 23 octobre 2026 pour CVE-2026-96654 et CVE-2026-96656, et le 3 novembre 2026 pour CVE-2026-96652 et CVE-2026-96655. Ne pas attribuer la date la plus tardive à l’ensemble du groupe. Consigner les exigences applicables de la directive séparément des priorités de l’organisation en matière d’incidents et de correctifs.

Comment l'appliquer

• Consigner les preuves concernant le serveur. Dans Plex Web, examiner Paramètres > Général et relever la version complète du serveur. Répertorier chaque machine, paquet NAS et conteneur exécutant un serveur. Déterminer à quelle instance chaque client se connecte avant d’évaluer son état.
• Réduire l’exposition. Désactiver l’accès distant lorsqu’il n’est pas nécessaire. Plex documente à la fois les redirections automatiques du routeur via UPnP ou NAT-PMP et les redirections manuelles de ports. Pour contrôler le confinement, examiner ces redirections, les proxys inverses et les pare-feu de l’hôte pour le serveur administré ; supprimer l’exposition non souhaitée et vérifier le résultat depuis un emplacement externe autorisé. Ne pas désactiver les pare-feu pour dépanner une installation non corrigée.
• Installer le bon paquet serveur. Obtenir un paquet actuel adapté à la plateforme par le canal de distribution officiel de Plex. Pour un paquet Debian, la forme d’installation documentée est sudo dpkg -i ./plexmediaserver.deb, en remplaçant le nom de fichier d’exemple par celui du paquet réellement téléchargé. Suivre la procédure distincte de l’éditeur pour les NAS ou les conteneurs. Après le redémarrage du serveur, vérifier que la version exécutée atteint la version de référence de sécurité ou une version ultérieure prise en charge.
• Examiner les signes publiés. Plex signale des binaires inconnus dans le répertoire Codecs, des processus enfants inattendus et des connexions à proxystream.st. Préserver les preuves relatives aux processus, au réseau et aux fichiers avant tout nettoyage. Comparer les observations à l’avis daté et analyser l’activité inexpliquée plutôt que de supposer qu’une correspondance de nom de fichier est concluante.
• Rétablir le système et sécuriser le compte. Lorsqu’une compromission ne peut pas être exclue, Plex recommande une reconstruction propre et une déconnexion de toutes les sessions du compte, accompagnées d’un changement de mot de passe. Examiner ce à quoi le service pouvait accéder. Depuis un appareil sain, examiner les appareils autorisés et supprimer les entrées inconnues. Plex indique que les appareils supprimés doivent se reconnecter pour être enregistrés à nouveau. Activer l’authentification à deux facteurs du compte et conserver ses codes de récupération dans un endroit accessible sans l’appareil d’authentification.
• Vérifier le service rétabli. Documenter la nouvelle version du serveur, la configuration d’accès distant choisie explicitement et la liste des appareils du compte. Tester la lecture normale et les intégrations nécessaires. Tenir un dossier d’incident reliant les preuves conservées, les décisions de récupération et les identifiants de service renouvelés parce qu’ils avaient été exposés.

Pièges

Un retard du gestionnaire de paquets du NAS ne prouve pas qu’un ancien paquet est sûr. Ne pas reconnecter un serveur reconstruit à un répertoire de données soupçonné d’être contaminé sans l’avoir examiné. L’authentification à deux facteurs renforce les connexions futures ; elle n’établit pas l’intégrité du serveur. Plex avertit aussi que le passage d’un membre de Plex Home à un autre ne déclenche pas de demande supplémentaire de second facteur. La seule absence d’indicateurs ne peut pas prouver qu’un hôte exposé n’a jamais été compromis.