Faille Plex (Plex2Shell) : le serveur multimédia oublié qui peut ouvrir votre réseau
Le NAS du bureau fait tourner Plex depuis trois ans pour les vidéos de formation. Personne ne s’en occupe : ça marche. Depuis le 17 octobre, c’est exactement le genre d’appareil que des pirates prennent pour cible.
La faille Plex baptisée Plex2Shell est en fait une chaîne de quatre failles de Plex Media Server. Ensemble, elles permettent à un inconnu sur Internet, sans mot de passe valide, d’exécuter du code sur un serveur Plex exposé. Le correctif existe depuis septembre, mais un code d’attaque a été publié le 16 octobre et des attaques réussies ont été observées dès le lendemain. Le 19 octobre, Plex a confirmé une exploitation « active et répandue ».
4
failles enchaînées, aucune ne suffit seule
1 jour
entre la publication du code d’attaque et les premières attaques
1.43.3
la version à installer (build 10861 ou plus récent)
32400
le port qu’il vaut mieux ne pas ouvrir vers Internet
La faille Plex en quatre maillons
Prise une à une, chaque faille semble modeste : la première n’a qu’une note de gravité moyenne. C’est l’enchaînement qui donne le contrôle complet.
Maillon 1
CVE-2026-96652
La porte d’entrée
Une adresse du lecteur accepte n’importe quel jeton : le serveur envoie des requêtes là où le pirate le demande, y compris vers lui-même.
Maillon 2
CVE-2026-96654
Les fonctions internes
Des fonctions réservées au serveur lui-même deviennent accessibles par ce détour.
Maillon 3
CVE-2026-96655
Le jeton du propriétaire
Le serveur livre le jeton administrateur de son propriétaire : le pirate a maintenant les pleins pouvoirs sur Plex.
Maillon 4
CVE-2026-96656
L’écriture du fichier
Par les réglages du transcodeur, un fichier malveillant est déposé dans le dossier Codecs, puis exécuté.
Résultat : le code du pirate s’exécute avec les droits du service Plex. Sur un NAS ou un PC qui sert aussi à autre chose, ces droits peuvent aller bien plus loin que vos films.
45 jours pour corriger, 1 jour pour attaquer
De la découverte à l’attaque (2026)
La longueur de chaque bloc est proportionnelle au nombre de jours jusqu’à l’étape suivante.
La leçon dépasse Plex : une fois qu’un code d’attaque est public, le délai entre « correctif disponible » et « vous êtes visé » se compte en heures. Les serveurs qui se mettent à jour seuls étaient protégés depuis septembre. Les autres ne l’étaient pas.
Plex dans une PME? Plus souvent qu’on pense
🗄️
Le NAS du bureau
Plusieurs NAS proposent Plex en un clic. Le même boîtier contient souvent vos dossiers partagés et vos sauvegardes.
📺
La télé de la salle d’attente
Une clinique, un gym ou un restaurant diffuse ses vidéos avec Plex, sur un vieux PC jamais mis à jour.
🏠
Le sous-sol d’un employé
Le serveur multimédia familial partage la connexion Internet du portable de travail.
🎓
Les vidéos de formation
Un « Netflix maison » pour les procédures internes, installé un vendredi et oublié depuis.
Ce que les pirates en font : votre connexion, pas vos films
Les attaques observées installent deux choses : un mineur de cryptomonnaie, qui use votre matériel et votre électricité, et un logiciel « proxy » qui fait passer le trafic d’autres personnes par votre connexion Internet. Le chercheur qui a repéré les attaques le résume ainsi : un Plex est souvent installé sur une adresse résidentielle, et les pirates adorent ces adresses pour accéder aux VPN et aux courriels d’entreprise.
🕵️ Pourquoi c’est sournois
Beaucoup d’alertes reposent sur l’origine de la connexion : un pays inhabituel, une adresse de centre de données. Une connexion qui part d’une maison de Laval ne déclenche rien. C’est pourquoi l’authentification multifacteur résistante à l’hameçonnage et la surveillance des comportements comptent plus que la seule vérification de l’adresse IP.
Les signes d’un serveur compromis
Plex a publié ces indices le 19 octobre. Ils ne couvrent que ce qui a été observé jusqu’ici.
⚙️
Des processus inconnus
Lancés par Plex Media Server, en particulier myawesomeproxy, mylovelyminer ou x12345.
📁
Des fichiers .so ou .dll inconnus
Dans le dossier Codecs de Plex.
🌡️
Le processeur à fond
Alors que rien ne joue : c’est la signature typique d’un mineur de cryptomonnaie.
🌐
Des connexions sortantes
Vers proxystream.st, ou un trafic Internet inhabituel la nuit.
Quoi faire, dans l’ordre
Six gestes, du plus urgent au plus durable
Mettre à jour tout de suite
Version 1.43.3.10861 ou plus récente. Dans Plex Web : Paramètres, Général, la version est affichée.
Chercher les signes ci-dessus
Si le serveur était plus ancien et joignable depuis Internet, Plex demande de le considérer comme possiblement compromis.
En cas de doute, reconstruire
Réinstaller proprement au lieu de réutiliser l’ancien dossier de données. Au minimum : vider le dossier Codecs et vérifier les options du transcodeur dans Preferences.xml.
Couper les sessions
Déconnecter tous les appareils du compte Plex et changer son mot de passe.
Penser plus large que Plex
Tout ce que le compte de service Plex pouvait atteindre est à considérer comme exposé : partages montés, mots de passe enregistrés sur la même machine.
Fermer ce qui n’a pas à être ouvert
Pas besoin d’accès à distance? Désactivez-le (Paramètres, Accès à distance) et retirez la redirection du port 32400 sur le routeur.
Et si vos employés en télétravail ont un serveur Plex à la maison, un simple message cette semaine (« Vérifiez votre version de Plex ») est un excellent réflexe de prévention. Pour aller plus loin sur les serveurs oubliés et exposés, lisez notre article sur les serveurs d’IA exposés sur Internet, et sur le réseau, notre page soutien aux réseaux d’entreprise.
Chez NeoTech, nos services de cybersécurité commencent par l’inventaire de ce qui est exposé, puis une surveillance automatisée 24/7 avec intervention du technicien de garde repère les comportements anormaux, comme un processeur qui s’emballe la nuit.
Réservez votre Bilan cyber gratuit
Vous ne savez pas exactement quels appareils de votre réseau sont joignables depuis Internet, ni ce qui tourne sur le NAS du bureau? Le Bilan cyber gratuit commence par là : on repère ce qui est exposé, ce qui n’est plus à jour et ce qui partage le même réseau que vos postes de travail, puis on vous remet un plan clair.
👉 Réservez votre Bilan cyber gratuit
Appelez-nous au 438-476-2322 ou écrivez à info@neotechcloudsolutions.com.
Sources
- Plex : Important Security Update for Plex Media Server v1.43.2 and earlier (mise à jour du 19 octobre 2026) (en anglais)
- SecurityWeek : Plex2Shell Exploit Chain Weaponized Against Plex Servers Hours After Disclosure (19 octobre 2026) (en anglais)
- Ars Technica : PSA: Patch your Plex media server before someone hacks it (19 octobre 2026) (en anglais)
- CVE.org : CVE-2026-96652 (en anglais)
Photo : Kaboompics.com, Pexels (licence Pexels).