2026-10-31
Plex2Shell: quatro CVEs do Plex Media Server exploradas ativamente (atualize para 1.43.3.10861 ou posterior)
Plex2Shell é o nome que um pesquisador de segurança deu a quatro falhas no Plex Media Server: CVE-2026-96652, CVE-2026-96654, CVE-2026-96655 e CVE-2026-96656. Segundo a Plex, encadeadas elas permitem que um invasor remoto sem autenticação execute código com os privilégios do processo do Plex Media Server. As quatro foram corrigidas na 1.43.3.10861, lançada para todos em 4 de agosto de 2026. Em 19 de outubro (UTC), a Plex escreveu que as falhas estão sendo exploradas de forma ativa e ampla após o surgimento de uma prova de conceito pública em 16 de outubro, e que servidores comprometidos foram usados para rodar mineradores de criptomoedas e software de proxy. A CISA adicionou as quatro ao seu catálogo Known Exploited Vulnerabilities (KEV) em 20 de outubro, com prazos de 23 de outubro e 3 de novembro. Isoladamente, cada CVE tem apenas de 4.3 a 7.2 (CVSS v3.1). Nossa conclusão: se você roda o Plex Media Server, confirme hoje que ele está na 1.43.3.10861 ou posterior, pare de expor diretamente a porta 32400 a menos que precise do acesso remoto e, se uma versão anterior estava acessível pela internet, siga as verificações de comprometimento da Plex e reconstrua o servidor em caso de dúvida.