Plex2Shell : des serveurs Plex piratés pour miner de la crypto, mettez à jour Plex Media Server
Quatre failles de Plex Media Server, enchaînées sous le nom Plex2Shell, permettent de prendre le contrôle d'un serveur Plex sans mot de passe. Elles sont exploitées pour installer un mineur de cryptomonnaie. Version corrigée et vérifications à faire.
Vous partagez vos films, séries et photos avec Plex depuis un ordinateur ou un NAS ? Vérifiez votre version tout de suite. Quatre failles de Plex Media Server, surnommées Plex2Shell, sont exploitées depuis la mi-octobre pour prendre le contrôle de serveurs Plex sans aucun mot de passe et y installer un mineur de cryptomonnaie. L’agence américaine CISA les a ajoutées à sa liste des failles activement exploitées.
Ce qui se passe
Prises une par une, les failles (CVE-2026-96652, CVE-2026-96654, CVE-2026-96655 et CVE-2026-96656) semblent modestes. Mais enchaînées, elles permettent à un attaquant de récupérer le jeton administrateur du propriétaire, puis de déposer et d’exécuter son propre programme sur la machine.
Le chercheur Zach Main les avait signalées à Plex fin juillet, et Plex les a corrigées dès le 3 août 2026. Le problème : le détail technique a été publié le 16 octobre, et les premières attaques ont été repérées dès le lendemain, contre tous les serveurs qui n’avaient pas été mis à jour.
Selon The Hacker News, les pirates installent un mineur de cryptomonnaie XMRig (le processus s’appelle « mylovelyminer ») et une porte dérobée qui transforme le serveur en relais (« myawesomeproxy »). Votre machine travaille alors pour eux, et votre réseau peut servir à masquer d’autres attaques.
Qui est concerné ?
- Concerné : Plex Media Server installé sur un PC, un Mac, un NAS (Synology, QNAP…) ou un serveur, dans une version antérieure à 1.43.3.10861.
- Pas concerné : les applications Plex pour regarder vos contenus (télé, téléphone, navigateur), et le service Plex en ligne lui-même.
Que faire maintenant
- Mettez à jour Plex Media Server vers la version 1.43.3.10861 ou plus récente. Dans l’interface web de Plex, ouvrez Paramètres > Général pour voir la version et lancer la mise à jour. Sur un NAS, passez par le centre de paquets du fabricant.
- Activez les mises à jour automatiques de Plex Media Server si votre installation le permet.
- Cherchez des signes d’infection : processeur à 100 % en permanence, ventilateur ou NAS anormalement bruyant, processus inconnus nommés « mylovelyminer » ou « myawesomeproxy ». En cas de doute, désinstallez Plex, réinstallez la dernière version et changez le mot de passe de votre compte Plex.
- Limitez l’exposition : si vous n’avez pas besoin de regarder vos contenus hors de chez vous, désactivez l’accès à distance dans les paramètres de Plex.
Une sauvegarde à jour de vos fichiers reste la meilleure assurance si vous devez réinstaller la machine.