Les serveurs Plex Media Server installés chez des particuliers ou sur des hébergements externes constituent une surface d’attaque qui reste largement ouverte. La Shadowserver Foundation, organisation qui surveille l’exposition des services sur Internet, a entrepris depuis le 4 septembre un balayage des instances obsolètes. Son décompte dépasse actuellement 36 000 serveurs encore joignables sans correctif, les systèmes situés aux États-Unis étant les plus nombreux parmi les cas recensés.
Ce que révèlent les relevés
Shadowserver consigne les machines concernées dans ses rapports quotidiens sous l’identifiant vulnerable-plex. Cette nomenclature permet de suivre l’évolution du parc exposé jour après jour. En Allemagne, un peu plus de 1 500 instances resteraient vulnérables, ce qui place le pays parmi les territoires touchés de manière significative, sans atteindre l’ampleur observée outre-Atlantique.
Le point de départ de ces scans est une alerte publiée sur le forum de Plex. Elle vise la version 1.43.2 et les versions plus anciennes. Toute installation restée à ce niveau ou en deçà est donc considérée comme non corrigée.
L’absence de référence CVE complique la coordination
Les vulnérabilités signalées n’ont pas encore fait l’objet d’une attribution officielle de CVE, ces identifiants normalisés qui permettent de désigner une faille de manière univoque. Cette lacune a une conséquence pratique : de nombreux services automatisés de veille et de détection s’appuient sur ces références pour déclencher leurs alertes. Sans identifiant, les failles passent plus facilement inaperçues dans les tableaux de bord de supervision, ce qui retarde la mise à jour coordonnée des installations concernées.
Conséquences pour les exploitants
Pour quiconque fait tourner un serveur Plex, la recommandation reste simple : appliquer sans attendre les mises à jour disponibles. Un serveur accessible depuis Internet qui conserve une version antérieure à la branche corrigée demeure exposé, qu’il soit installé à domicile ou hébergé chez un prestataire. Le fait qu’un correctif soit publié ne suffit pas à réduire le nombre d’instances vulnérables tant que l’installation locale n’est pas mise à niveau.
Les exploitants ont donc intérêt à vérifier la version exacte de leur logiciel, à activer les mises à jour automatiques lorsque l’option existe et à restreindre l’accès distant aux seuls utilisateurs qui en ont besoin. La démarche vaut d’autant plus que les outils de surveillance classiques risquent, faute de CVE, de ne pas signaler ces cas.
Ce qui est établi et ce qui reste flou
Les éléments confirmés sont les suivants : des scans sont en cours depuis le 4 septembre, plus de 36 000 serveurs non corrigés sont identifiés, les États-Unis concentrent le plus grand nombre de cas, l’Allemagne en compte un peu plus de 1 500, et l’alerte d’origine concerne la version 1.43.2 et les versions antérieures. L’absence de CVE officielle est également actée.
En revanche, la nature précise des vulnérabilités, leur éventuelle exploitation active et le calendrier d’attribution des identifiants CVE ne sont pas documentés. Aucune donnée ne permet non plus de savoir si le décompte progresse ou recule d’un jour à l’autre. En l’état, la seule mesure concrète vérifiable consiste à mettre à jour les installations concernées, sans extrapoler sur des risques qui n’ont pas été décrits publiquement.