Plex ha chiesto a tutti di aggiornare. 36.000 server non l'hanno fatto.

Il 1 settembre Plex ha rotto la propria abitudine e ha scritto direttamente agli utenti chiedendo di aggiornare. Ne abbiamo parlato allora. Ora qualcuno ha contato quanti lo hanno fatto davvero.

Shadowserver, l'organizzazione senza scopo di lucro che scansiona internet e comunica ai responsabili di rete cosa si vede da fuori, ha iniziato il 4 settembre un rilevamento quotidiano delle installazioni di Plex Media Server non aggiornate. Ogni giorno da allora trova più di 36.000 istanze raggiungibili da internet e ancora su 1.43.2 o precedenti. La correzione non è recente: Media Server 1.43.3 è uscito il 19 maggio e Plex Desktop 1.115.0 il 13 agosto. Sono quindi macchine che hanno una patch a disposizione da quasi quattro mesi.

Le falle non hanno ancora identificativi CVE. La posizione di Plex resta che i CVE sono stati richiesti e i dettagli arriveranno. L'obiezione di Shadowserver è pratica: senza identificativi il problema resta in larga parte invisibile a chi ha il compito di seguirlo, e nulla finisce negli scanner e negli avvisi che altrimenti spingerebbero i proprietari ad aggiornare. La riservatezza è comunque un affare a senso unico, perché una patch è un prima e dopo pubblico. Chiunque può confrontare 1.43.2 con 1.43.3 e capire cosa è cambiato, e quell'orologio gira da maggio.

L'aggiornamento richiede un minuto dalla pagina delle impostazioni del server. Se il tuo Plex vive su un Synology, QNAP o Unraid, installa il pacchetto a mano invece di aspettare la versione dello store, che tende a restare indietro di giorni. E se il motivo vero per cui non lo hai fatto è che quel server non è mai stato davvero tuo da curare, quello installato anni fa a cui nessuno pensa, allora è proprio quello il punto da sistemare. Il controllo aggiornamenti delle app di Tendvane passa per winget, lo strumento di pacchetti di Microsoft, e tiene aggiornata la maggior parte dei normali programmi da scrivania; un media server appoggiato su un NAS in un armadio resta uno di cui devi occuparti tu.