Plex2Shell : la mise à jour ne nettoie pas le NAS

Quatre failles dans Plex Media Server, enchaînées, donnent la main sur le serveur à un inconnu. Sur un NAS joignable depuis Internet, installer le correctif ne retire pas ce qui a déjà été posé : QNAP demande une réinstallation propre.

Actualité du 6 novembre 2026 · 1 min 33 · 7 sources · 14 affirmations sourcées

En 30 secondes

Quatre défauts sans gravité pris séparément peuvent suffire, une fois enchaînés, à exécuter du code sur un serveur de fichiers.
Un port ouvert sur Internet n'est pas seulement une commodité : c'est la porte que ces quatre défauts utilisent.
Sur un serveur qui a été exposé, la mise à jour ne nettoie rien : il faut réinstaller et changer les identifiants.

Les faits

Ce qui est établi, et ce qui ne l'est pas

Chaque affirmation de l'épisode, son statut et ses sources.

ÉtabliPlex2Shell est une chaîne de quatre failles touchant Plex Media Server 1.43.2 et antérieur : CVE-2026-96652, CVE-2026-96654, CVE-2026-96655 et CVE-2026-96656[1][2][4]
ÉtabliEnchaînées, ces failles permettent à un attaquant distant non authentifié d'exécuter du code avec les droits du processus Plex Media Server[1][2][4]
ÉtabliLe correctif est Plex Media Server 1.43.3.10861 et les versions ultérieures[2][4][1]
ÉtabliLa preuve de concept publique date du 16 octobre 2026 et Plex décrit depuis des attaques actives et larges contre les serveurs exposés[2][3]
ÉtabliLes quatre CVE ont été inscrits au catalogue KEV de la CISA le 20 octobre 2026[5]
ÉtabliQNAP a reçu des signalements d'utilisateurs dont le serveur Plex semble compromis, et son support technique assiste les personnes concernées[1][6]
ÉtabliLes serveurs compromis ont servi à faire tourner des mineurs de cryptomonnaie et des proxys qui acheminent le trafic d'autres personnes par la connexion de la victime[2][1]
ÉtabliUne mise à jour seule ne retire pas ce que l'attaquant a déjà installé : si le serveur était joignable depuis Internet, QNAP et Plex demandent une réinstallation propre puis la réinitialisation des identifiants[1][2]
RapportéSelon Shadowserver, plus de 36 000 instances de Plex Media Server exposées sur Internet restaient non corrigées début septembre 2026[7]
ÉtabliL'exposition vient de l'accès distant Plex, d'une redirection du port 32400, ou d'une ouverture automatique du port par UPnP ou par la box[1]
InconnuLe nombre de NAS compromis, l'identité des attaquants et la nature exacte des fichiers lus ou volés ne sont pas publics[1][6]
ÉtabliLe premier maillon est un jeton d'API dont le serveur vérifie seulement l'existence : une valeur quelconque suffit à lui faire émettre une requête vers lui-même, en boucle locale[3][4]
ÉtabliEn boucle locale, l'API des greffons répond sans jeton ; une injection dans le paramètre d'identifiant permet d'appeler d'autres fonctions de greffon et d'obtenir le jeton d'administration du propriétaire[3][4]
ÉtabliLe dernier maillon fait écrire un fichier dans le dossier Codecs par les préférences du transcodeur ; ces fichiers sont chargés au démarrage ou au transcodage suivant sans contrôle de signature, de droit d'exécution ni de symbole[3][4]

Transcription

Sur un NAS de salon, un serveur multimédia écoute sur le port 32400, parfois ouvert sur Internet. Début septembre, plus de 36 000 de ces serveurs restaient sans correctif ; depuis le 16 octobre, Plex décrit des attaques larges.

CyberFlash, c'est l'émission cybersécurité de DecodeVox. Ici, on ne s'arrête pas aux gros titres : on décrypte les attaques, on révèle leurs mécanismes et on explique ce qu'elles changent concrètement.

Mais comment une vidéo peut-elle ouvrir un serveur ?

Premier maillon : le serveur vérifie qu'un jeton d'API existe, jamais qu'il est valide. Une valeur quelconque suffit, et il envoie une requête vers lui-même, en boucle locale. Là, l'API des greffons répond sans jeton : l'attaquant prend le jeton du propriétaire, puis fait écrire un fichier exécutable dans le dossier Codecs.

Établi : le correctif 1.43.3.10861, les quatre CVE au catalogue des failles exploitées depuis le 20 octobre, et des NAS compromis signalés à QNAP. Ignoré : combien de machines, qui attaque, ce qui a été lu.

Trois réflexes. Ne pas exposer le port 32400 : l'accès distant passe par un VPN. Si le serveur était joignable depuis Internet, mettre à jour ne suffit pas : réinstallation propre et mots de passe changés. Enfin, vérifier le dossier Codecs et les processus inconnus.

Un correctif ferme la porte. Il ne fait pas sortir le mineur déjà installé.

Pour aller plus loin, retrouvez l'édition complète du jour sur notre plateforme en ligne, le lien en description. Abonnez-vous à DecodeVox pour ne rien manquer de nos prochains décryptages. Et dites-nous en commentaire : Avez-vous un serveur joignable depuis Internet ?

Les mots de l'épisode

NAS: Un petit serveur de fichiers pour la maison ou la petite entreprise : il stocke les sauvegardes, les photos et les films, et beaucoup de gens y installent des applications comme Plex.
Jeton d'API: Une chaîne de caractères qui sert de mot de passe pour une application. Ici, le serveur vérifiait qu'un jeton était présent, sans vérifier qu'il était valide.
Boucle locale: L'adresse par laquelle une machine se parle à elle-même. Un serveur fait davantage confiance à une requête qui vient de là, puisqu'elle est censée venir de lui.
Transcodeur: La partie de Plex qui convertit une vidéo dans un format lisible par l'appareil du spectateur. C'est par ses réglages que le fichier piégé a été écrit.

Sources