36 mila server Plex sono in pericolo (probabilmente anche il tuo). Patch già disponibile

Plex ha distribuito una nuova versione del proprio server multimediale che corregge più vulnerabilità di sicurezza, senza però descriverne la natura: l'azienda si è limitata a comunicare che gli identificativi CVE sono stati richiesti. Chi gestisce una libreria personale di film, serie e musica raggiungibile da Internet ha quindi un compito solo: installare la patch prima che qualcun altro ricostruisca, dal confronto tra le due versioni, cosa esattamente sia stato corretto.

Le correzioni sono incluse in Plex Media Server 1.43.3 e in Plex Desktop 1.115.0. Risultano interessate tutte le versioni del server fino alla 1.43.2 compresa. «Raccomandiamo a tutti i proprietari di server e agli utenti di Desktop di aggiornare all'ultima versione il prima possibile», ha dichiarato Plex.

Secondo le scansioni automatiche di Shadowserver, oltre 36.000 istanze di Plex Media Server risultano ancora raggiungibili da Internet e non aggiornate. 322 sono Italia

Il precedente: da una falla di Plex ai vault di LastPass

Il motivo per cui un server multimediale casalingo merita attenzione da parte di un professionista IT sta in una vicenda del 2022. La vulnerabilità CVE-2020-5741, che consente l'esecuzione di codice da remoto ed è inserita da CISA tra le falle sfruttate attivamente, è stata usata per compromettere il computer di casa di un ingegnere DevOps senior di LastPass. Gli aggressori vi hanno installato un keylogger e, da lì, sono arrivati ai dati dei vault aziendali. Nello stesso mese Plex ha comunicato una violazione dei propri sistemi, con accesso a un database contenente indirizzi email, nomi utente e credenziali cifrate, e ha imposto il reset delle password.

Più di recente, nell'agosto 2025, è stata corretta la CVE-2025-34158 (punteggio CVSS 8,5): un problema di autenticazione nell'endpoint /myplex/account che esponeva i dati dell'account del proprietario del server, incluso il token di accesso amministrativo, a qualunque utente autenticato con privilegi inferiori. Una successiva chiamata a /api/resources permetteva poi di elencare gli altri server accessibili a quel proprietario, trasformando una singola falla nella mappa completa dell'infrastruttura Plex della vittima.

Cosa fare adesso (NAS compresi)

L'aggiornamento va installato subito, e vale anche per chi ospita Plex su un NAS. «Se stai eseguendo Plex Media Server su un dispositivo NAS, la versione aggiornata potrebbe non essere ancora disponibile nel gestore di pacchetti del produttore, ma puoi installare il pacchetto manualmente», ha precisato Plex. Tradotto: se il pannello del NAS non propone nulla, l'aggiornamento va scaricato e applicato a mano, non rimandato.

Al di là della patch, valgono le regole di sempre per qualsiasi servizio auto-ospitato: ridurre al minimo l'esposizione diretta su Internet, segmentare la rete in modo che il server multimediale non possa dialogare con i dispositivi che contano davvero, e tenere d'occhio i segnali di compromissione.

Fonti: bleepingcomputer.com, thehackernews.com, we-fix-pc.com, hendryadrian.com