Para: quem roda o Plex Media Server em um PC, NAS, servidor doméstico, servidor na nuvem ou no Docker, principalmente se ele for acessível pela internet. Esta página se baseia no aviso de segurança da própria Plex, no NVD, nos dados de aviso da CISA e no catálogo KEV; não contém passos de ataque nem código de exploit.
Em andamento: esta página será atualizada conforme mais for publicado
- Quem é afetado
quem roda o Plex Media Server em um PC, NAS, servidor doméstico, servidor na nuvem ou no Docker, principalmente se ele for acessível pela internet.
- Confirmado até agoraVer a tabela ↓
- Versões afetadas e corrigidas
- Encadeadas, sem necessidade de login
- Ataques contra servidores desatualizados
Mais 2
- Para que os servidores comprometidos foram usados
- KEV da CISA
- Ainda não confirmado
- Quantos servidores foram comprometidos
- Se os invasores fizeram mais do que instalar mineradores e software de proxy
- Se a loja de apps de cada fabricante de NAS já oferece a versão corrigida
- O que fazer agoraVer os passos ↓
- Confira a versão do seu servidor
- Atualize para 1.43.3.10861 ou posterior
- Reduza a exposição
Mais 2
- Se uma versão anterior estava acessível pela internet, procure sinais de comprometimento
- Trate como exposto tudo o que o servidor podia alcançar
- Onde verificar (fonte)Todas as fontes ↓
- Plex, "Important Security Update for Plex Media Server v1.43.2 and earlier" (1º de setembro, atualizado em 19 de outubro UTC)
- Última verificação
- Em 31 de outubro de 2026 (JST)
Próximos avisos e o que verificamos
O aviso da Plex, a versão corrigida e as entradas no KEV são públicos. Consultamos as publicações do fórum da Plex, o NVD, os dados de aviso da CISA e o feed KEV (versão 2026.10.30) em 31 de outubro.
O que fazer hoje
Confira a versão do seu servidor
Abra o Plex Web, vá em Configurações e depois em Geral, e leia a versão exibida. Segundo a Plex, a 1.43.3.10861 e posteriores não são afetadas. Verifique todos os servidores que você roda, inclusive os antigos em um NAS ou em um PC reserva.
Atualize para 1.43.3.10861 ou posterior
No Windows e no macOS, confirme que as atualizações automáticas realmente instalaram a nova versão, ou baixe-a na página de downloads da Plex. No Linux, instale o novo pacote .deb ou .rpm. No Docker, baixe a imagem atual conforme descrito no repositório Docker da Plex. Em um NAS, a Plex diz que a loja de apps do fabricante pode atrasar; baixe da Plex o pacote para o seu dispositivo e use a opção de instalação manual do NAS.
Reduza a exposição
A Plex recomenda desativar o acesso remoto (Configurações, Acesso remoto) se você não precisa dele, e evitar encaminhar diretamente a porta 32400, a menos que seja necessário. Verifique no roteador regras de encaminhamento de portas ou UPnP que apontem para o servidor.
Se uma versão anterior estava acessível pela internet, procure sinais de comprometimento
A Plex diz para considerar que um servidor assim pode estar comprometido. As verificações dela, em termos gerais: processos iniciados pelo Plex Media Server que você não reconhece, arquivos desconhecidos na pasta Codecs da Plex, conexões de saída inesperadas e uso alto e contínuo de CPU quando nada está sendo reproduzido.
Se encontrar algum desses sinais, ou não puder descartar um comprometimento, a Plex recomenda reconstruir o servidor a partir de uma instalação limpa em vez de reaproveitar a pasta de dados antiga da Plex. No mínimo, apague tudo na pasta Codecs e verifique no Preferences.xml opções do transcodificador que você não configurou. Depois, saia de todos os dispositivos nas configurações da sua conta Plex e troque a senha da Plex.
Trate como exposto tudo o que o servidor podia alcançar
A Plex diz para tratar como potencialmente exposto tudo o que a conta de serviço da Plex podia alcançar, como compartilhamentos montados e credenciais armazenadas na mesma máquina ou máquina virtual. Troque as senhas armazenadas ali e revise os outros dispositivos da mesma rede.
O que foi divulgado
- Produto
- Plex Media Server, software que serve sua própria biblioteca de vídeos, músicas e fotos para os apps da Plex
- CVEs
- CVE-2026-96652 (falsificação de solicitação do lado do servidor, SSRF), CVE-2026-96654 (valores de URL não neutralizados), CVE-2026-96655 (SSRF; a Plex a descreve como divulgação do token de administrador do proprietário), CVE-2026-96656 (gravação arbitrária de arquivos por um usuário administrador)
- Efeito combinado
- Execução de código com os privilégios do processo do Plex Media Server, sem autenticação, quando encadeadas (Plex)
- Gravidade
- Isoladamente, CVSS v3.1 de 4.3 a 7.2 (pontuações da CISA como autoridade de numeração CVE). O pesquisador avalia a cadeia completa em 9.8; não é uma pontuação oficial
- Afetadas
- Versões anteriores a 1.43.3.10861
- Corrigida
- 1.43.3.10861 (lançada para todos em 4 de agosto de 2026). Mais recente em 31 de outubro: 1.43.5.11079
- Exploração
- "Exploradas de forma ativa e ampla" contra servidores acessíveis pela internet que não foram atualizados (Plex, 19 de outubro UTC)
- KEV
- Adicionadas em 20 de outubro. Prazo: 23 de outubro (CVE-2026-96654, -96656) e 3 de novembro (CVE-2026-96652, -96655). A CVE-2026-96656 também está marcada para os requisitos de triagem forense da CISA
Os dados de aviso da CISA para a mesma versão também listam uma quinta falha, a CVE-2026-96651 (travessia de caminho, leitura de arquivos com um token de sessão válido). Ela foi corrigida na mesma versão e não está no catálogo KEV.
1. Conferir a versão
Configurações, Geral: 1.43.3.10861 ou posterior?
2. Atualizar e fechar a porta
Atualizar; desativar o acesso remoto se não for usado
3. Verificar servidores expostos
Verificações da Plex; reconstruir em caso de dúvida
Linha do tempo
3-4 de agosto de 2026
O Plex Media Server 1.43.3.10861 é lançado no canal beta (3 de agosto) e depois para todos (4 de agosto).1º de setembro
A Plex publica um aviso de segurança pedindo a todos os donos de servidores que atualizem para 1.43.3 ou mais recente, e diz que CVEs foram solicitadas.23 de setembro
Os registros CVE são publicados, com 1.43.3.10861 como versão corrigida.16 de outubro
O pesquisador de segurança que encontrou a cadeia publica os detalhes com o nome Plex2Shell, e surge uma prova de conceito pública (Plex).17 de outubro
Um pesquisador de segurança relata ter visto a cadeia explorada contra um honeypot para instalar um minerador de criptomoedas.19 de outubro (UTC)
A Plex atualiza o aviso com a lista de CVEs e diz que as falhas estão sendo exploradas de forma ativa e ampla.20 de outubro
A CISA adiciona as quatro CVEs ao catálogo KEV.26 de outubro
O Plex Media Server 1.43.5.11079 é lançado para todos.
O que se sabe e o que não se sabe
| Item | O que as fontes dizem | Situação |
|---|---|---|
| Versões afetadas e corrigidas | Anteriores a 1.43.3.10861; corrigido na 1.43.3.10861 | Confirmado |
| Encadeadas, sem necessidade de login | Declarado pela Plex | Confirmado |
| Ataques contra servidores desatualizados | Exploradas de forma ativa e ampla (Plex) | Abuso confirmado (Plex) |
| Para que os servidores comprometidos foram usados | Mineradores de criptomoedas e software de proxy (Plex) | Abuso confirmado (Plex) |
| Número de servidores comprometidos | Não publicado | Não informado |
| Roubo de dados ou credenciais de contas dos servidores | Não publicado | Não informado |
| KEV da CISA | As quatro adicionadas em 20 de outubro | Confirmado |
Por que as pontuações esconderam o risco
Nenhuma das quatro CVEs passa de 7.2 sozinha. Pelos vetores CVSS, três delas exigem login: a CVE-2026-96652 e a CVE-2026-96655, uma conta com poucos privilégios, e a CVE-2026-96656, direitos de administrador. Segundo a Plex, encadeadas elas não exigem nenhum dos dois. Uma fila de correções ordenada pela pontuação CVSS individual as teria deixado quase no fim; por isso, aqui a inclusão no KEV importa mais do que os números (veja como decidir quais CVEs corrigir primeiro).
Além disso, a correção estava disponível havia mais de dois meses quando os detalhes foram publicados. Servidores que se atualizam automaticamente já estavam protegidos. Os que estavam em um NAS cuja loja de apps atrasou, ou que foram configurados uma vez e esquecidos, não estavam.
O pesquisador que encontrou a cadeia escreve que modelos de linguagem de grande porte foram muito usados para encontrar e verificar as falhas. Encontrar cadeias de pequenos bugs em software doméstico está ficando mais barato, então o intervalo entre uma correção e um ataque pode diminuir.
Fontes
Consultadas em 31 de outubro de 2026 (JST).
- Plex, "Important Security Update for Plex Media Server v1.43.2 and earlier" (1º de setembro, atualizado em 19 de outubro UTC) — forums.plex.tv
- Plex, anúncios de versões do Plex Media Server — forums.plex.tv
- NVD, CVE-2026-96652 — nvd.nist.gov / CVE-2026-96654 — nvd.nist.gov / CVE-2026-96655 — nvd.nist.gov / CVE-2026-96656 — nvd.nist.gov
- CISA, dados de aviso para o Plex Media Server (VA-26-266-01) — github.com/cisagov
- CISA, Known Exploited Vulnerabilities Catalog (adicionadas em 20 de outubro de 2026) — cisa.gov
- Análise da cadeia pelo pesquisador de segurança, Plex2Shell (16 de outubro de 2026) — zmain.info
- Relato de um pesquisador de segurança sobre a exploração real (17 de outubro de 2026) — boredhackerblog.info
Histórico de atualizações
2026-10-31: Primeira versão, com base no aviso de segurança da Plex, no NVD, nos dados de aviso da CISA e no catálogo KEV.
Leia a seguir
- Priorizar correções: Como decidir quais CVEs corrigir primeiro (CVSS, EPSS, KEV)
- Verificar comprometimento: Como verificar se seu servidor foi comprometido
- Exploradas no mesmo mês: Vulnerabilidades exploradas em dispositivos de borda, meados de outubro de 2026
- Passos de resposta: Guia de correção de vulnerabilidades
- Termos: O que é SSRF? / O que é execução remota de código (RCE)? / O que é CVSS?