Plex : quatre failles exploitées, le serveur à mettre à jour

Quatre failles, avec des conditions différentes

Dans son alerte du 20 octobre, la CISA confirme des éléments d’exploitation active pour CVE-2026-96652, CVE-2026-96654, CVE-2026-96655 et CVE-2026-96656. Ce sont quatre failles d’un même produit, Plex Media Server, parmi les six ajouts du jour au catalogue KEV.

Deux permettent de faire envoyer des requêtes par le serveur vers des destinations choisies par l’attaquant (SSRF). Pour CVE-2026-96652, le catalogue décrit l’usage d’une valeur X-Plex-Token quelconque ; CVE-2026-96655 demande un utilisateur authentifié. CVE-2026-96654 permet d’appeler des fonctions d’autres plugins avec des paramètres choisis. CVE-2026-96656 permet à un administrateur d’écrire des fichiers qui peuvent être exécutés au chargement. La CISA indique que ces failles peuvent être chaînées : les prérequis d’une faille prise seule ne décrivent donc pas toute la chaîne.

Ne pas se fier au seul résultat d’un scanner

Les quatre fiches NVD ont été révisées le 21 octobre : leur champ CPE, utilisé pour identifier les logiciels concernés, vise désormais les versions antérieures à 1.43.3.10861, comme leurs descriptions et les données de l’organisme déclarant. La borne CPE 1.43.0.10861 relevée plus tôt a été remplacée. La discordance signalée dans notre première version n’est donc plus présente dans les fiches consultées.

Si vous maintenez Plex, vérifiez le numéro réellement installé et la mise à jour de sécurité proposée pour votre système ou votre paquet NAS. Le repère commun des fiches est 1.43.3.10861. Un ancien résultat de scanner peut encore reprendre la borne remplacée : il ne suffit pas à déclarer le serveur corrigé. Si quelqu’un d’autre l’administre, demandez-lui de confirmer la version et le traitement de ces quatre CVE.

Corriger le serveur et vérifier ce qui s’est passé

Avant l’intervention, gardez une sauvegarde utilisable de la configuration nécessaire à votre installation. Après la mise à jour, vérifiez la version du serveur et la lecture d’un fichier sans données sensibles depuis un appareil habituel. Ce contrôle fonctionnel ne prouve pas qu’il n’y a pas eu d’intrusion.

Le catalogue fixe le 23 octobre pour CVE-2026-96654 et CVE-2026-96656, et le 3 novembre pour les deux SSRF. Ces échéances relèvent du dispositif fédéral américain, pas d’une obligation imposée au particulier. La CISA demande aussi une investigation pour CVE-2026-96656. Si le serveur était exposé et que vous suspectez une intrusion, faites examiner les traces disponibles : installer le correctif ne dit pas ce qui s’est produit avant.

SecuFocus s’appuie ici sur la CISA et le NVD, sans reproduction d’attaque. L’avis Plex lié par ces organismes n’a pas été utilisé directement, car il est hors de notre liste de veille autorisée. L’inscription au catalogue confirme une exploitation connue, pas la compromission de chaque serveur.

• Auto-hébergement : prévoir les correctifs et les sauvegardes↗