Para: cualquiera que ejecute Plex Media Server en un PC, un NAS, un servidor doméstico, un servidor en la nube o en Docker, sobre todo si es accesible desde internet. Esta página se basa en el aviso de seguridad de Plex, NVD, los datos de aviso de CISA y su catálogo KEV; no contiene pasos de ataque ni código de exploit.
En desarrollo: esta página se actualizará a medida que se publique más
- A quién afecta
cualquiera que ejecute Plex Media Server en un PC, un NAS, un servidor doméstico, un servidor en la nube o en Docker, sobre todo si es accesible desde internet.
- Confirmado hasta ahoraVer la tabla ↓
- Versiones afectadas y corregidas
- Encadenadas, sin necesidad de iniciar sesión
- Ataques contra servidores desactualizados
2 más
- Para qué se usaron los servidores comprometidos
- KEV de CISA
- Aún sin confirmar
- Cuántos servidores se han comprometido
- Si los atacantes hicieron algo más que instalar mineros y software de proxy
- Si la tienda de apps de cada fabricante de NAS ofrece ya la versión corregida
- Qué hacer ahoraVer los pasos ↓
- Compruebe la versión de su servidor
- Actualice a 1.43.3.10861 o posterior
- Reduzca la exposición
2 más
- Si una versión anterior era accesible desde internet, busque señales de compromiso
- Trate como expuesto todo lo que el servidor podía alcanzar
- Dónde verificarlo (fuente)Todas las fuentes ↓
- Plex, "Important Security Update for Plex Media Server v1.43.2 and earlier" (1 de septiembre, actualizado el 19 de octubre UTC)
- Última comprobación
- A fecha del 31 de octubre de 2026 (JST)
Próximos avisos y qué comprobamos
El aviso de Plex, la versión corregida y las entradas de KEV son públicos. Consultamos las publicaciones del foro de Plex, NVD, los datos de aviso de CISA y el feed KEV (versión 2026.10.30) el 31 de octubre.
Qué hacer hoy
Compruebe la versión de su servidor
Abra Plex Web, vaya a Configuración y luego a General, y lea la versión que aparece. Según Plex, 1.43.3.10861 y posteriores no están afectadas. Revise cada servidor que ejecute, incluidos los antiguos en un NAS o en un PC de repuesto.
Actualice a 1.43.3.10861 o posterior
En Windows y macOS, asegúrese de que las actualizaciones automáticas han instalado de verdad la nueva versión, o descárguela desde la página de descargas de Plex. En Linux, instale el nuevo paquete .deb o .rpm. En Docker, descargue la imagen actual como se describe en el repositorio de Docker de Plex. En un NAS, Plex dice que la tienda de apps del fabricante puede ir con retraso; descargue de Plex el paquete para su dispositivo y use la opción de instalación manual del NAS.
Reduzca la exposición
Plex aconseja desactivar el acceso remoto (Configuración, Acceso remoto) si no lo necesita, y evitar redirigir directamente el puerto 32400 salvo que haga falta. Revise en su router las reglas de redirección de puertos o UPnP que apunten al servidor.
Si una versión anterior era accesible desde internet, busque señales de compromiso
Plex dice que hay que suponer que un servidor así puede estar comprometido. Sus comprobaciones, en términos generales: procesos iniciados por Plex Media Server que no reconoce, archivos desconocidos en la carpeta Codecs de Plex, conexiones salientes inesperadas y un uso de CPU alto y sostenido cuando no se está reproduciendo nada.
Si encuentra alguna de estas señales, o no puede descartar un compromiso, Plex recomienda reconstruir el servidor desde una instalación limpia en lugar de reutilizar la carpeta de datos antigua de Plex. Como mínimo, borre todo el contenido de la carpeta Codecs y revise en Preferences.xml las opciones del transcodificador que usted no configuró. Después, cierre la sesión en todos los dispositivos desde la configuración de su cuenta de Plex y cambie su contraseña de Plex.
Trate como expuesto todo lo que el servidor podía alcanzar
Plex dice que hay que tratar como posiblemente expuesto todo lo que podía alcanzar la cuenta de servicio de Plex, como recursos compartidos montados y credenciales guardadas en la misma máquina o máquina virtual. Cambie las contraseñas guardadas allí y revise los demás dispositivos de la misma red.
Qué se divulgó
- Producto
- Plex Media Server, software que sirve su propia biblioteca de vídeo, música y fotos a las apps de Plex
- CVE
- CVE-2026-96652 (falsificación de solicitudes del lado del servidor, SSRF), CVE-2026-96654 (valores de URL no neutralizados), CVE-2026-96655 (SSRF; Plex lo describe como divulgación del token de administrador del propietario), CVE-2026-96656 (escritura arbitraria de archivos por un usuario administrador)
- Efecto combinado
- Ejecución de código con los privilegios del proceso de Plex Media Server, sin autenticación, cuando se encadenan (Plex)
- Gravedad
- Por separado, CVSS v3.1 de 4.3 a 7.2 (puntuaciones de CISA como autoridad de numeración CVE). El investigador valora la cadena completa en 9.8; no es una puntuación oficial
- Afectadas
- Versiones anteriores a 1.43.3.10861
- Corregida
- 1.43.3.10861 (publicada para todos el 4 de agosto de 2026). Última a 31 de octubre: 1.43.5.11079
- Explotación
- "Explotados de forma activa y amplia" contra servidores accesibles desde internet que no se han actualizado (Plex, 19 de octubre UTC)
- KEV
- Añadidas el 20 de octubre. Fecha límite: 23 de octubre (CVE-2026-96654, -96656) y 3 de noviembre (CVE-2026-96652, -96655). CVE-2026-96656 también está marcada para los requisitos de triaje forense de CISA
Los datos de aviso de CISA para la misma versión también incluyen un quinto fallo, CVE-2026-96651 (recorrido de rutas, lectura de archivos con un token de sesión válido). Está corregido en la misma versión y no figura en el catálogo KEV.
1. Comprobar la versión
Configuración, General: ¿1.43.3.10861 o posterior?
2. Actualizar y cerrar el puerto
Actualizar; desactivar el acceso remoto si no se usa
3. Revisar servidores expuestos
Comprobaciones de Plex; reconstruir si hay dudas
Cronología
3-4 de agosto de 2026
Plex Media Server 1.43.3.10861 sale en el canal beta (3 de agosto) y después para todos (4 de agosto).1 de septiembre
Plex publica un aviso de seguridad que pide a todos los propietarios de servidores actualizar a 1.43.3 o posterior, y dice que se han solicitado CVE.23 de septiembre
Se publican los registros CVE, con 1.43.3.10861 como versión corregida.16 de octubre
El investigador de seguridad que encontró la cadena publica sus detalles con el nombre Plex2Shell, y aparece una prueba de concepto pública (Plex).17 de octubre
Un investigador de seguridad informa de que vio la cadena explotada contra un honeypot para instalar un minero de criptomonedas.19 de octubre (UTC)
Plex actualiza su aviso con la lista de CVE y dice que los fallos se están explotando de forma activa y amplia.20 de octubre
CISA añade las cuatro CVE al catálogo KEV.26 de octubre
Plex Media Server 1.43.5.11079 se publica para todos.
Qué se sabe y qué no
| Elemento | Lo que dicen las fuentes | Estado |
|---|---|---|
| Versiones afectadas y corregidas | Anteriores a 1.43.3.10861; corregido en 1.43.3.10861 | Confirmado |
| Encadenadas, sin necesidad de iniciar sesión | Indicado por Plex | Confirmado |
| Ataques contra servidores desactualizados | Explotados de forma activa y amplia (Plex) | Uso indebido confirmado (Plex) |
| Para qué se usaron los servidores comprometidos | Mineros de criptomonedas y software de proxy (Plex) | Uso indebido confirmado (Plex) |
| Número de servidores comprometidos | No publicado | No consta |
| Robo de datos o credenciales de cuentas desde los servidores | No publicado | No consta |
| KEV de CISA | Las cuatro añadidas el 20 de octubre | Confirmado |
Por qué las puntuaciones ocultaron el riesgo
Ninguna de las cuatro CVE supera 7.2 por sí sola. Según sus vectores CVSS, tres requieren iniciar sesión: CVE-2026-96652 y CVE-2026-96655, una cuenta con pocos privilegios, y CVE-2026-96656, derechos de administrador. Según Plex, encadenadas no requieren ninguna de las dos cosas. Una cola de parches ordenada por la puntuación CVSS de cada una las habría dejado casi al final; por eso aquí la inclusión en KEV importa más que las cifras (vea cómo decidir qué CVE corregir primero).
Además, la corrección estuvo disponible más de dos meses antes de que se publicaran los detalles. Los servidores que se actualizan solos ya estaban protegidos. Los que estaban en un NAS cuya tienda de apps iba con retraso, o que se configuraron una vez y se dejaron así, no.
El investigador que encontró la cadena escribe que se usaron mucho modelos de lenguaje de gran tamaño para encontrar y comprobar los fallos. Encontrar cadenas de pequeños errores en software doméstico es cada vez más barato, así que el intervalo entre una corrección y un ataque puede acortarse.
Fuentes
Consultadas el 31 de octubre de 2026 (JST).
- Plex, "Important Security Update for Plex Media Server v1.43.2 and earlier" (1 de septiembre, actualizado el 19 de octubre UTC) — forums.plex.tv
- Plex, anuncios de versiones de Plex Media Server — forums.plex.tv
- NVD, CVE-2026-96652 — nvd.nist.gov / CVE-2026-96654 — nvd.nist.gov / CVE-2026-96655 — nvd.nist.gov / CVE-2026-96656 — nvd.nist.gov
- CISA, datos de aviso para Plex Media Server (VA-26-266-01) — github.com/cisagov
- CISA, Known Exploited Vulnerabilities Catalog (añadidas el 20 de octubre de 2026) — cisa.gov
- Análisis de la cadena por el investigador de seguridad, Plex2Shell (16 de octubre de 2026) — zmain.info
- Informe de un investigador de seguridad sobre la explotación real (17 de octubre de 2026) — boredhackerblog.info
Historial de actualizaciones
2026-10-31: Primera versión, basada en el aviso de seguridad de Plex, NVD, los datos de aviso de CISA y su catálogo KEV.
Leer a continuación
- Priorizar correcciones: Cómo decidir qué CVE corregir primero (CVSS, EPSS, KEV)
- Buscar señales de compromiso: Cómo comprobar si su servidor ha sido comprometido
- Explotadas el mismo mes: Vulnerabilidades explotadas en dispositivos perimetrales, mediados de octubre de 2026
- Pasos de respuesta: Guía de corrección de vulnerabilidades
- Términos: ¿Qué es SSRF? / ¿Qué es la ejecución remota de código (RCE)? / ¿Qué es CVSS?