Contexte des vulnérabilités
Début octobre 2026, Plex a publié des correctifs pour quatre failles de son serveur multimédia. Trois semaines plus tard, cinq CVE ont été attribués, dont une notée 8.6/10 sur l’échelle CVSS. Ces vulnérabilités affectent le moteur de traitement des flux et le service d’authentification, deux composants critiques pour la communication client‑serveur.
Mécanisme de la chaîne Plex2Shell
Un chercheur a démontré une chaîne d’exploitation baptisée « Plex2Shell ». Elle combine quatre des failles corrigées pour obtenir une exécution de code à distance (RCE) sur le serveur Plex vulnérable. La séquence commence par une injection de requête HTTP malformée qui contourne la validation d’entrée, poursuit avec une désérialisation non sécurisée, exploite une débordement de tampon dans le module de décodage vidéo, puis utilise une élévation de privilèges via le service d’authentification. Le résultat est l’injection d’un shell système contrôlé par l’attaquant.
Observations d'exploitation et impacts
Après la publication du détail de la chaîne, un autre chercheur a déployé un honeypot imitant un serveur Plex. En moins de 24 heures, le dispositif a enregistré des scans actifs puis des tentatives d’exploitation réussies. Les infections détectées installent deux charges utiles distinctes : un cryptominer qui exploite la puissance CPU du serveur pour miner des cryptomonnaies au profit de l’attaquant, et un logiciel de proxy résidentiel qui transforme le serveur en point d’accès anonymisé. Ce dernier permet aux cybercriminels de masquer leur trafic, notamment pour accéder à des réseaux d’entreprise via des adresses IP résidentielles.
Recommandations de mitigation
Les administrateurs doivent mettre à jour Plex vers la version corrigée dès que possible, car la chaîne exploite exclusivement les versions antérieures aux correctifs d’octobre. Il est également conseillé de restreindre l’accès au port HTTP/HTTPS du serveur aux réseaux de confiance, d’activer l’authentification à deux facteurs et de surveiller les journaux pour des requêtes inhabituelles. Enfin, le déploiement de solutions de détection d’anomalies réseau peut identifier rapidement les tentatives de connexion provenant d’adresses IP suspectes.
