Plex recommande une mise à jour immédiate : correctifs de sécurité non détaillés dans la 1.43.3

Plex vient de publier Plex Media Server 1.43.3 et Plex Desktop 1.115.0 pour corriger ce que l’éditeur décrit uniquement comme « plusieurs problèmes de sécurité ». Si vous faites tourner un serveur Plex sur un NAS, un PC à la maison ou dans un conteneur Docker, c’est le genre de mise à jour à traiter aujourd’hui plutôt que de remettre à plus tard.

Ce que Plex a réellement annoncé

L’annonce est venue du compte officiel de Plex sur son forum, le 1er septembre 2026, dans un message intitulé « Important security update for Plex Media Server v1.43.2 and earlier ». Le texte reste avare en détails techniques : les versions 1.43.2 et antérieures de Plex Media Server sont concernées, le correctif arrive avec la 1.43.3, et la même vague de correctifs s’applique à Plex Desktop, qui passe en version 1.115.0. Tous les propriétaires de serveur et tous les utilisateurs de l’application Desktop sont invités à mettre à jour dès que possible.

Ce que le message ne contient pas, c’est la moindre explication technique sur la nature des vulnérabilités. Plex indique que des identifiants CVE ont été demandés mais n’étaient pas encore publics au moment de la rédaction ; il n’y a donc ni score CVSS à citer, ni confirmation que les failles seraient exploitables à distance, nécessiteraient une authentification, ou relèveraient d’une catégorie moins critique. La couverture du média The Hacker News, publiée le 4 septembre, confirme le même flou : Plex « n’a pas détaillé la nature des failles ». Toute affirmation plus précise à ce stade relève de la spéculation.

Cette absence de détails est frustrante, mais ce n’est pas une raison pour attendre. Mettez à jour d’abord ; lisez l’analyse technique le jour où Plex ou un chercheur en sécurité la publiera.

Pourquoi l’historique de Plex justifie de ne pas traîner

Plex a un vrai passif de failles qui sont passées du statut de « corrigées discrètement » à celui d’« activement exploitées », et c’est ce contexte qui rend une annonce comme celle-ci digne d’attention même sans détails CVE.

• En août 2025, Plex a corrigé CVE-2025-34158 (CVSS 8,5), une faille d’authentification de sévérité élevée : le point d’accès /myplex/account pouvait exposer les informations du compte du propriétaire du serveur, y compris son jeton d’accès administrateur, à n’importe quel utilisateur authentifié qui n’était pas le titulaire du compte. Un appel suivant vers /api/resources pouvait ensuite révéler tous les autres serveurs auxquels ce compte avait accès, transformant une simple faille en outil de cartographie de l’infrastructure d’un tiers.
• En février 2021, une faille de Plex Media Server a été utilisée pour des attaques DDoS par amplification et réflexion UDP. Plex l’a corrigée en version 1.21.3.4014 en limitant les réponses UDP au réseau local.
• La brèche LastPass de 2022, révélée publiquement en 2023, remonte en partie à l’ordinateur personnel d’un employé sur lequel tournait une version vulnérable de Plex Media Server. CVE-2020-5741 (CVSS 7,2) aurait donné aux attaquants l’ouverture nécessaire pour installer un keylogger sur cette machine.

Rien n’indique que les failles corrigées dans la 1.43.3 sont comparables en gravité à ces précédents : elles pourraient très bien être plus mineures. Mais ce schéma récurrent, des vulnérabilités Plex qui finissent par être exploitées une fois comprises, explique pourquoi traiter des « problèmes de sécurité non précisés » comme une priorité secondaire s’est déjà retourné contre certains utilisateurs.

L’ampleur du parc concerné ajoute au raisonnement. Les données Censys citées par The Hacker News montrent plus de 360 000 appareils exposant une interface web Plex Media Server directement sur Internet. Ce chiffre inclut bien sûr de nombreux serveurs parfaitement à jour et configurés ; ce n’est pas un décompte de failles. C’est plutôt un rappel de l’ampleur de la surface d’attaque dès qu’un correctif devient réellement nécessaire.

Comment mettre à jour

Pour la plupart des utilisateurs, les mises à jour de Desktop et du serveur devraient être proposées directement depuis l’application Plex. Là où ça se complique, c’est sur les déploiements NAS : les paquets proposés par les fabricants n’arrivent pas toujours aussi vite dans leur gestionnaire d’applications que Plex ne publie ses propres versions. Plex a publié des instructions d’installation manuelle couvrant Windows, macOS, Linux (paquets .deb pour les systèmes basés sur Ubuntu et .rpm pour Fedora/CentOS), les plateformes NAS génériques avec des liens spécifiques pour QNAP, TerraMaster, WD, Netgear et Synology, Docker via l’image officielle pms-docker sur GitHub, ainsi que NVIDIA Shield via le Google Play Store.

Si le fabricant de votre NAS n’a pas encore publié la mise à jour, rien ne vous oblige à attendre : les paquets manuels fournis directement par Plex permettent de passer en 1.43.3 avant même que le cycle de publication du fabricant ne rattrape son retard.

En résumé

Plex Media Server 1.43.3 et Plex Desktop 1.115.0 corrigent des problèmes de sécurité que Plex n’a pas encore détaillés, et les numéros CVE restent en attente de publication. C’est un niveau de silence inhabituel à demander à des centaines de milliers de propriétaires de serveur, sur la simple base de la confiance. Mais vu l’historique de Plex (fuites de jetons de compte, abus DDoS, brèche liée à une instance non corrigée), mettre à jour maintenant plutôt que d’attendre l’analyse technique reste le choix raisonnable. Les détails complets, CVE compris, suivront vraisemblablement. Gardez un œil sur le fil officiel du forum Plex pour la suite.

Pour en savoir plus sur Plex dans une stack multimédia auto-hébergée, consultez notre fiche application Plex.

Sources : forum officiel Plex — annonce originale, couverture de The Hacker News.