Des pirates exploitent depuis le 17 octobre une chaîne de quatre failles de Plex Media Server, baptisée Plex2Shell, pour installer des mineurs de cryptomonnaie et des relais de trafic sur des serveurs non mis à jour. Un correctif existe depuis plusieurs semaines, à une date qui varie selon les sources : il suffit de passer à la version 1.43.3.10861 ou à une version plus récente. Le 20 octobre, l’agence américaine de cybersécurité CISA a ajouté ces failles à son catalogue des vulnérabilités exploitées.
Ce qui s’est passé
Plex Media Server est un logiciel très répandu chez les particuliers pour diffuser films et séries depuis un ordinateur, un NAS ou un conteneur Docker. D’après The Hacker News, les premières attaques ont démarré le lendemain de la publication des détails techniques, le 16 octobre. Le Journal du Geek raconte qu’un blogueur anonyme, qui avait volontairement laissé tourner une ancienne version exposée sur Internet, a vu son serveur attaqué le 17 octobre avec le code publié par le chercheur à l’origine de la découverte.
Le premier programme déposé était un mineur de cryptomonnaie. Les attaquants ont ensuite ajouté un outil nommé « myawesomeproxy », qui permet à des tiers de faire passer leur trafic par la connexion de la victime pour masquer leur adresse. The Hacker News décrit aussi un second mineur, « mylovelyminer », fondé sur le logiciel XMRig, et relie une partie de l’infrastructure utilisée à un réseau de machines zombies déjà signalé en août.
Comment fonctionne la chaîne Plex2Shell
Prise isolément, aucune des quatre failles n’est spectaculaire : The Hacker News leur attribue des scores de gravité allant de 5,3 à 8,6. C’est leur combinaison qui pose problème, car elle permet d’exécuter du code à distance sans posséder de compte. Selon le Journal du Geek, l’attaque amène d’abord le serveur à livrer le jeton d’administration du propriétaire, puis dépose un fichier malveillant qui s’exécute dès que Plex convertit une vidéo.
Les quatre références suivies sont les suivantes, toutes ajoutées le 20 octobre au catalogue de la CISA :
- CVE-2026-96652 et CVE-2026-96655, deux falsifications de requêtes côté serveur ;
- CVE-2026-96654, une mauvaise neutralisation d’adresses encodées ;
- CVE-2026-96656, un contrôle externe du nom ou du chemin d’un fichier, la plus grave.
Pourquoi tant de serveurs restent exposés
Le paradoxe tient au calendrier. Le chercheur a signalé les failles à Plex le 27 juillet, et le correctif est sorti début août : le 3 août selon The Hacker News, le 4 selon le Journal du Geek, qui précise que l’éditeur a versé une prime de 500 dollars et publié un avis de sécurité le 1er septembre. PCWorld évoque pour sa part un correctif diffusé en septembre. Malgré ce délai, environ 49 000 serveurs apparaissaient encore vulnérables au 17 octobre, dont près de 17 600 en Europe, selon le Journal du Geek, seule source consultée à avancer ce décompte et sans en nommer l’auteur. Ce chiffre mesure l’exposition, pas le nombre de machines effectivement compromises, qui reste inconnu.
L’explication est en partie technique : les mises à jour de Plex ne s’installent pas toujours seules. Sous Windows et macOS, le réglage par défaut demande l’accord de l’utilisateur, tandis que les installations sous Linux, Docker ou sur NAS suivent leurs propres procédures, rappelle le Journal du Geek.
Les gestes à faire maintenant
- Vérifier la version installée et passer à la 1.43.3.10861 ou au-delà.
- Surveiller une charge processeur anormale et des performances en baisse, signes possibles d’un mineur selon PCWorld.
- Rechercher des processus inconnus, notamment ceux lancés par Plex.
- En cas d’intrusion avérée, ne pas se contenter de supprimer le mineur : le fichier piégé peut rester dans le dossier « Codecs » et se relancer, prévient le Journal du Geek. PCWorld rapporte que Plex conseille alors une réinstallation propre.
- Éviter, si ce n’est pas indispensable, d’exposer directement le serveur sur Internet.
Pour un particulier, le risque principal est une facture d’électricité plus lourde et une connexion utilisée par des inconnus, ce qui peut associer son adresse à des activités douteuses. Pour une petite entreprise qui héberge Plex sur un NAS partagé, une machine compromise à l’intérieur du réseau mérite une vérification attentive.
Questions fréquentes
Mon serveur Plex est-il concerné ?
Oui s’il tourne avec une version antérieure à 1.43.3.10861 et qu’il est joignable depuis Internet. Les attaques observées visent ces serveurs non mis à jour.
La mise à jour suffit-elle si j’ai déjà été piraté ?
Non. Elle ferme la porte mais ne retire pas forcément le fichier malveillant installé dans le dossier des codecs. Une réinstallation propre est la voie la plus sûre.
L’ampleur de la campagne est-elle connue ?
Pas encore. Le Journal du Geek estime à environ 49 000 le nombre de serveurs vulnérables, mais aucune source ne chiffre les machines réellement infectées, et The Hacker News indiquait que Plex n’avait pas répondu à ses questions.
Sources
- Hackers Exploit Plex2Shell Flaws to Deploy Crypto Miners — The Hacker News, 2026-10-19
- Votre serveur Plex intéresse aussi les pirates — Journal du Geek, 2026-10-20
- Hackers are hijacking Plex servers to mine crypto, update ASAP — PCWorld, 2026-10-20
- CISA Adds Six Known Exploited Vulnerabilities to Catalog — CISA, 2026-10-20