Plex pidió a todo el mundo que actualizara. 36.000 servidores no lo han hecho.
El 1 de septiembre Plex rompió su propia costumbre y escribió directamente a sus usuarios pidiéndoles que actualizaran. Lo contamos entonces. Alguien ha contado ahora cuánta gente lo hizo de verdad.
Shadowserver, la organización sin ánimo de lucro que rastrea internet y avisa a los responsables de red de lo que se ve desde fuera, empezó el 4 de septiembre a informar a diario de las instalaciones de Plex Media Server sin parchear. Cada día desde entonces encuentra más de 36.000 instancias accesibles desde internet y todavía en 1.43.2 o anterior. La corrección no es nueva: Media Server 1.43.3 salió el 19 de mayo y Plex Desktop 1.115.0 el 13 de agosto. Son, por tanto, máquinas que tienen un parche disponible desde hace casi cuatro meses.
Los fallos siguen sin identificadores CVE. La postura de Plex sigue siendo que los CVE se han solicitado y que los detalles llegarán. La objeción de Shadowserver es práctica: sin identificadores, el problema queda en gran medida invisible para quienes tienen el trabajo de seguirlo, y nada de esto llega a los escáneres ni a los boletines que de otro modo empujarían a los propietarios a actualizar. El secreto es en cualquier caso un trato de una sola dirección, porque un parche es un antes y un después público. Cualquiera puede comparar 1.43.2 con 1.43.3 y deducir qué cambió, y ese reloj corre desde mayo.
Hacerlo cuesta un minuto desde la página de ajustes del propio servidor. Si tu Plex vive en un Synology, QNAP o Unraid, instala el paquete a mano en lugar de esperar la copia de la tienda, que suele ir varios días por detrás. Y si la razón sincera por la que no has actualizado es que ese servidor nunca fue del todo tu responsabilidad, el que se montó hace años y en el que nadie piensa, entonces eso es lo que conviene resolver. La comprobación de actualizaciones de aplicaciones de Tendvane funciona a través de winget, la herramienta de paquetes de Microsoft, y mantiene al día la mayoría del software de escritorio corriente; un servidor multimedia metido en un NAS dentro de un armario sigue siendo uno del que tienes que encargarte tú.