Plex corregge falle in Media Server e Desktop: aggiornamento urgente anche sui NAS

🛡️ Executive Summary

• Plex chiede di aggiornare immediatamente Media Server alla versione 1.43.3 o successiva e Plex Desktop almeno alla 1.115.0 per correggere più falle.
• Le vulnerabilità non hanno ancora identificativi CVE pubblici e Plex non ha divulgato vettori, gravità o condizioni necessarie per lo sfruttamento.
• Sui NAS l’aggiornamento potrebbe non essere ancora disponibile nei repository del produttore: Plex raccomanda in quel caso l’installazione manuale.

Plex ha diffuso un avviso di sicurezza rivolto ai proprietari di Plex Media Server e agli utenti di Plex Desktop, chiedendo di aggiornare immediatamente le installazioni per correggere un numero non specificato di vulnerabilità. Sono coinvolti Plex Media Server 1.43.2 e versioni precedenti, mentre la versione indicata come sicura è almeno 1.43.3; per il client Desktop è richiesto l’aggiornamento alla 1.115.0 o successiva. La società non ha ancora pubblicato dettagli tecnici né identificativi CVE, ma ha già richiesto la loro assegnazione. L’urgenza assume particolare rilevanza per i server esposti attraverso Internet e per le installazioni ospitate su NAS, dove gli aggiornamenti dei package manager possono arrivare in ritardo.

Plex chiede di installare Media Server 1.43.3 e Desktop 1.115.0

L’avviso arriva direttamente da Plex attraverso il forum ufficiale dedicato alle comunicazioni di sicurezza. La società afferma di avere recentemente distribuito Plex Media Server 1.43.3 e Plex Desktop 1.115.0 per correggere “un numero di problemi di sicurezza” e raccomanda a tutti i proprietari dei server e agli utenti Desktop di aggiornare alla versione più recente disponibile. Plex non precisa quante vulnerabilità siano state corrette, quale componente risulti esposto né se siano necessarie autenticazione, accesso remoto o particolari configurazioni. Non viene neppure indicata una gravità CVSS. L’unica delimitazione certa fornita dal vendor riguarda il ramo server: 1.43.2 e precedenti devono essere considerati vulnerabili rispetto ai problemi appena corretti. L’assenza temporanea dei CVE non riduce la priorità dell’aggiornamento, soprattutto quando un’applicazione server resta raggiungibile dalla rete o pubblica servizi verso l’esterno.

Leggi anche: Vulnerabilità critiche corrette in Synology, Triofox e SAP

I CVE sono stati richiesti ma Plex non ha ancora rivelato i vettori di attacco

Il punto più delicato è proprio ciò che Plex non ha ancora pubblicato. La società specifica che gli identificativi CVE sono stati richiesti e che ulteriori dettagli verranno aggiunti quando saranno disponibili, lasciando per ora sconosciuti vettore di attacco, prerequisiti, impatto su riservatezza, integrità e disponibilità e presenza di eventuali exploit. Questo impedisce di classificare le falle come RCE, authentication bypass o privilege escalation senza introdurre informazioni non supportate. La comunicazione urgente suggerisce però che Plex vuole ridurre rapidamente il numero di installazioni vulnerabili prima che la differenza tra versioni venga analizzata pubblicamente. È un passaggio operativo importante: quando la patch è già disponibile ma i dettagli tecnici non sono ancora stati diffusi, il confronto binario tra build corrette e precedenti può comunque offrire agli attaccanti indicazioni sufficienti per individuare il codice modificato. La priorità diventa quindi ridurre la finestra tra disponibilità della correzione e applicazione effettiva sui server.

Sui NAS il package manager può restare indietro rispetto alla patch Plex

Plex dedica una parte specifica dell’avviso alle installazioni su NAS, perché la versione aggiornata potrebbe non essere ancora presente negli store o nei repository gestiti dai produttori. In questi casi la società invita a scaricare il pacchetto corretto e procedere manualmente attraverso l’interfaccia del dispositivo. Le istruzioni ufficiali citano esplicitamente piattaforme QNAP, TerraMaster, Western Digital, Netgear e Synology, oltre alle installazioni Linux tradizionali e Docker. Per Ubuntu viene indicato il pacchetto .deb, per Fedora e CentOS il corrispondente .rpm, mentre chi utilizza Docker deve aggiornare l’immagine seguendo il repository ufficiale Plex. La necessità di intervenire manualmente è particolarmente rilevante negli ambienti NAS perché questi sistemi spesso restano accesi in modo permanente, conservano grandi quantità di dati e possono essere configurati per consentire accessi remoti. Le recenti vulnerabilità che hanno interessato appliance NAS e infrastrutture di storage mostrano quanto il ritardo nell’aggiornamento di servizi residenti possa ampliare la superficie di attacco, anche quando il problema nasce da software applicativo e non dal firmware del dispositivo.

Plex 1.43.3 era già disponibile ma la sicurezza cambia la priorità dell’upgrade

Il ramo Plex Media Server 1.43.3 non nasce esclusivamente come security release. Le note ufficiali mostrano che la versione era entrata nel canale beta già a giugno con modifiche a networking, IPv6, transcoding, librerie e gestione dei metadati, per poi raggiungere tutti gli utenti nel corso di luglio. La release 1.43.3.10828 è stata infatti dichiarata disponibile per tutti il 14 luglio 2026, con Plex che avvertiva già allora che alcuni store NAS avrebbero potuto riceverla in ritardo a causa dei processi di approvazione. La comunicazione di settembre cambia però la natura della raccomandazione: un aggiornamento che poteva essere valutato principalmente per funzioni e compatibilità diventa ora una misura di sicurezza esplicitamente richiesta dal produttore. Chi è rimasto su 1.43.2 per evitare regressioni, problemi IPv6 o incompatibilità con client specifici deve quindi rivalutare il compromesso, perché la versione precedente rientra ora formalmente nel perimetro indicato come vulnerabile.

Il precedente CVE-2020-5741 mostra perché un media server non va trattato come software innocuo

La cautela di Plex trova un precedente importante nella storia della piattaforma. CVE-2020-5741, corretto anni fa in Plex Media Server per Windows, permetteva a un attaccante remoto già autenticato con privilegi amministrativi di ottenere esecuzione di codice Python attraverso una deserializzazione non sicura. La vulnerabilità è stata successivamente inserita nel catalogo Known Exploited Vulnerabilities della CISA dopo la conferma dello sfruttamento reale. Quel caso dimostra perché un media server non può essere considerato semplicemente un’applicazione per organizzare film e musica: il processo gestisce librerie locali, rete, transcoding, account e accessi remoti e può diventare un punto di ingresso verso il sistema che lo ospita. Non significa che le nuove vulnerabilità abbiano lo stesso impatto o lo stesso vettore di CVE-2020-5741, dato che Plex non ha ancora pubblicato questi dettagli, ma il precedente giustifica una politica di patching rapida quando il vendor formula una raccomandazione esplicita.

Continua con:

• PaperCut sotto attacco, GiveWP apre alla RCE e Cosmos EVM perde milioni
• NASA AIT-GUI espone comandi senza login mentre Citrix corregge NetScaler

Aggiornare prima della pubblicazione dei dettagli riduce la finestra utile agli attaccanti

Per gli amministratori la misura prioritaria è quindi verificare la versione effettivamente installata e portare Plex Media Server almeno alla 1.43.3 e Plex Desktop almeno alla 1.115.0, utilizzando il pacchetto manuale quando il repository NAS non è ancora aggiornato. Non esistono al momento elementi pubblici sufficienti per indicare IOC, regole di detection, porte specificamente vulnerabili o procedure di mitigazione alternative alla patch. Plex non ha neppure dichiarato che le nuove falle siano già sfruttate attivamente. Proprio per questo la gestione corretta consiste nel non trasformare l’assenza di dettagli in una falsa rassicurazione: la correzione esiste, il vendor la considera urgente e le versioni vulnerabili sono note. Quando i CVE verranno pubblicati sarà possibile definire con maggiore precisione gravità e vettori, ma per i server ancora fermi alla 1.43.2 o precedenti la finestra utile per aggiornare è già aperta.