Plex : quatre failles enchaînées installent un mineur de Monero

Quatre failles du serveur multimédia Plex, enchaînées par le chercheur Zach Main, permettent de prendre le contrôle d'un serveur exposé sur Internet sans mot de passe, et leur code d'exploitation, public depuis le 16 octobre 2026, sert déjà à installer le mineur de cryptomonnaie Monero XMRig, selon Frandroid.

Quelles sont les failles Plex à corriger ?

Quatre identifiants ont été attribués le 23 septembre 2026 : CVE-2026-96652, CVE-2026-96654, CVE-2026-96655 et CVE-2026-96656. Seule la version 1.43.3.10861 ou plus récente du serveur Plex corrige le problème. Plex avait demandé le 1er septembre 2026, par une alerte sur son forum et un e-mail, de passer en 1.43.3. Le chercheur dit avoir signalé les failles dès le 27 juillet, contre une prime de 500 dollars (environ 430 €).

Comment l'attaque fonctionne-t-elle ?

Elle suppose seulement que le serveur soit joignable sur son port 32400. Frandroid décrit la chaîne ainsi : un faux jeton d'authentification est accepté parce que Plex vérifie seulement que le champ existe ; le serveur est forcé de s'envoyer une requête à lui-même, ce qui ouvre une interface réservée à la machine locale ; un module de récupération de fiches de séries est détourné pour voler le jeton administrateur ; enfin le transcodeur vidéo écrit un fichier piégé dans le dossier des codecs, chargé ensuite automatiquement.

Le code s'exécute alors avec les droits du compte Plex. Zach Main attribue à l'ensemble la note maximale de 10 sur 10 sur l'échelle de gravité CVSS ; c'est son évaluation, pas celle d'un organisme tiers. Il indique s'être appuyé largement sur des modèles d'IA pour cette recherche.

Qui est déjà attaqué ?

Le lendemain de la publication, un autre chercheur a vu son pot de miel (un faux serveur Plex) attaqué avec ce code, et un utilisateur du forum de Plex raconte que son conteneur s'est mis à miner du jour au lendemain. Début septembre, la fondation Shadowserver recensait plus de 36 000 serveurs Plex exposés et non corrigés ; ce chiffre date d'avant la publication du code, et le nombre actuel n'est pas connu.

Sur le pot de miel s'est aussi installé un logiciel de proxy, ce qui laisse penser que l'adresse IP résidentielle de la victime peut servir à masquer le trafic d'autres activités. Il s'agit d'une observation sur un seul appareil, pas d'une campagne documentée.

Que faire si vous utilisez Plex ?

• Vérifier que le serveur affiche la version 1.43.3.10861 ou plus récente.

• Sur un NAS Synology, QNAP, Ugreen ou TerraMaster, la mise à jour peut arriver en retard : Plex conseille de télécharger le paquet sur son site et de l'installer à la main.

• Si le serveur était exposé et en retard, chercher dans le dossier Codecs des fichiers .so (ou .dll sous Windows) que vous n'y avez pas mis : le fichier piégé survit à la mise à jour et à l'arrêt du mineur.

• Ne pas exposer Plex directement sur Internet : un accès local ou derrière un VPN échappe aux scans automatiques.

Source

Frandroid : Votre Plex mine de la crypto Monero à votre insu, 18 octobre 2026. Source primaire citée : l'analyse publiée le 16 octobre 2026 par Zach Main.