Plex ha confermato il 19 ottobre 2026 che quattro vulnerabilità di Plex Media Server sono «sfruttate attivamente e in modo diffuso» (traduzione nostra) contro i server raggiungibili da Internet e non aggiornati. Concatenate, permettono a un attaccante non autenticato di eseguire codice con i privilegi del servizio Plex. Il 20 ottobre CISA le ha inserite nel catalogo delle falle sfruttate. La correzione è nella versione 1.43.3.10861, disponibile da inizio agosto.
In breve
- Chi è colpito: Plex Media Server precedente alla 1.43.3.10861 raggiungibile da Internet, su PC, NAS, Docker o NVIDIA Shield.
- Gravità: esecuzione di codice da remoto senza autenticazione; il ricercatore valuta la catena 9,8.
- Sfruttata: sì, in massa secondo Plex; catalogo CISA KEV dal 20 ottobre.
- Cosa fare: aggiornare alla 1.43.3.10861 o successiva, controllare gli indicatori, chiudere l’accesso remoto se non serve.
Le quattro falle della catena “Plex2Shell”
| CVE | Cosa permette |
|---|---|
| CVE-2026-96652 | SSRF senza autenticazione nell’endpoint della timeline del player: con qualsiasi valore di X-Plex-Token, il server invia richieste dove decide l’attaccante, anche alle proprie API interne |
| CVE-2026-96654 | accesso a funzioni interne degli agenti tramite schemi URI codificati, con parametri scelti dall’attaccante |
| CVE-2026-96655 | secondo Plex, esposizione del token di amministrazione del proprietario; CISA la descrive come SSRF autenticata sul transcoder |
| CVE-2026-96656 | scrittura di file arbitrari nella cartella Codecs tramite le preferenze del transcoder: le librerie piazzate lì vengono caricate ed eseguite |
Le falle sono state scoperte dal ricercatore Zach Main e segnalate a Plex il 27 luglio, secondo BleepingComputer. Plex aveva avvisato gli utenti il 1° settembre senza dettagli; i dettagli tecnici sono diventati pubblici a metà ottobre (Plex indica il 16 per il proof of concept) e i primi attacchi sono stati osservati dal 17. I server compromessi vengono usati per minare criptovalute e come proxy, cioè per far passare il traffico di altri dalla vostra connessione.
Cosa fare subito
- Controllate la versione: Plex Web, Impostazioni, Generale. Deve essere 1.43.3.10861 o successiva.
- Aggiornate. Su Windows e macOS dal sito o dall’aggiornamento automatico; su NAS il pacchetto del produttore può arrivare in ritardo, ma Plex consente l’installazione manuale; su Docker scaricate l’immagine aggiornata e ricreate il container.
- Cercate gli indicatori segnalati da Plex: processi avviati da Plex che non riconoscete (Plex cita nomi come myawesomeproxy, mylovelyminer, x12345), file .so o .dll sconosciuti nella cartella Codecs, connessioni verso proxystream.st, CPU alta senza riproduzioni in corso.
- Se trovate qualcosa, o non potete escluderlo: reinstallate da zero senza riusare la vecchia cartella dati (al minimo svuotate Codecs e controllate Preferences.xml), disconnettete tutti i dispositivi dall’account e cambiate la password Plex.
- Considerate esposto tutto ciò che il servizio Plex poteva leggere: cartelle condivise montate, credenziali salvate sulla stessa macchina o macchina virtuale.
- Se non vi serve l’accesso da fuori casa, disattivatelo (Impostazioni, Accesso remoto) ed evitate di inoltrare direttamente la porta 32400 sul router.
Su Linux, per versione, processi e cartella Codecs (il percorso è quello dell’installazione standard da pacchetto):
dpkg -s plexmediaserver | grep Version
ps -ef | grep -i -E 'myawesomeproxy|mylovelyminer|x12345'
ls -la "/var/lib/plexmediaserver/Library/Application Support/Plex Media Server/Codecs"Verifica: dopo l’aggiornamento la versione mostrata in Impostazioni deve iniziare con 1.43.3 e terminare con 10861 o un numero superiore; la cartella Codecs deve contenere solo i file scaricati da Plex.
La nostra lettura
Plex è il classico servizio domestico esposto “per comodità” e dimenticato su un NAS, ed è proprio il profilo che gli attaccanti cercano per minare e fare da proxy. Quasi tre mesi tra patch e attacchi di massa sono stati sprecati perché l’avviso di settembre non diceva quanto fosse grave. Se volete vedere i vostri film fuori casa, una VPN verso la rete domestica resta più sicura della porta aperta: per il router, la nostra selezione è in https://hardwarfare.it/guide/guide-acquisto/migliori-router-wifi-7-novembre-2026/. Altre guide in https://hardwarfare.it/category/sicurezza-informatica/difesa-guide/.
Fonti
Immagine di copertina: Synology DS213+ – z dyskami.jpg di Piotr Doroszewski, licenza CC BY 4.0, via Wikimedia Commons; elaborazione grafica HardWarfare.
Articolo redatto con il supporto di strumenti di intelligenza artificiale e verificato dalla redazione. Come usiamo l'AI · Come lavoriamo
