Le code d'exploitation de Plex a été publié vendredi. Dès samedi, des serveurs minaient du Monero

Un chercheur a laissé volontairement un vieux Plex Media Server exposé sur Internet pour voir ce qui se passerait. Le 17 octobre, quelque chose s'est passé. Trois machines, aux adresses 45.194.92.222, 91.92.40.202 et 176.65.139.228, ont lancé la même attaque l'une après l'autre et déposé deux choses sur le serveur : XMRig, un mineur de Monero, et un outil de proxy nommé myawesomeproxy qui loue discrètement la connexion Internet de la victime à des inconnus.

L'attaque s'appelle Plex2Shell et repose sur l'empilement de quatre failles distinctes. CVE-2026-96652 et CVE-2026-96655 permettent à un attaquant de faire charger au serveur une URL de son choix sans véritable authentification. CVE-2026-96654 oriente cette requête vers une interface interne de plugins. CVE-2026-96656, la plus grave avec un score CVSS de 8,6, écrit un fichier sur le disque avec les droits de l'administrateur. Ce fichier atterrit dans le dossier Codecs et s'exécute dès que Plex transcode une vidéo, ce qui explique pourquoi tuer le mineur ne suffit pas à s'en débarrasser.

Rien de tout cela n'étonne Plex. L'éditeur a publié le correctif dans Media Server 1.43.3.10861 et un avis de sécurité le 1er septembre. Ce qui a changé la semaine dernière, c'est qu'un chercheur a diffusé l'analyse technique complète et un code fonctionnel le 16 octobre, et que les premières attaques ont suivi en moins de vingt-quatre heures. Gizmodo évoquait environ 49 000 serveurs encore exposés samedi. Si vous utilisez Plex chez vous, ouvrez-le, allez dans les paramètres et mettez-le à jour. Et demandez-vous si le port 32400 doit vraiment rester visible depuis Internet.

Garder ses applications ordinaires à jour est la moitié ennuyeuse de la sécurité, et c'est pour cela que le module de mise à jour d'applications de Tendvane s'appuie sur winget pour vous montrer ce qui est périmé et tout actualiser d'un seul geste.