CVE-2026-96652 : Plex2Shell RCE sans auth — CISA KEV

Les faits

Le 20 octobre 2026, la CISA (Cybersecurity and Infrastructure Security Agency) a ajouté quatre vulnérabilités liées à la chaîne d'exploitation baptisée « Plex2Shell » à son catalogue Known Exploited Vulnerabilities (KEV). Ces quatre CVEs — CVE-2026-96652, CVE-2026-96654, CVE-2026-96655 et CVE-2026-96656 — peuvent être enchaînées pour obtenir une exécution de code arbitraire sur un serveur Plex Media Server exposé sur Internet, sans nécessiter aucune authentification préalable.

La chaîne Plex2Shell tire son nom de la possibilité d'obtenir un accès shell complet sur le système hôte à partir de l'interface web Plex Media Server. La découverte initiale a été signalée à Plex le 27 juillet 2026 par des chercheurs en sécurité. Plex a développé et publié un correctif dans la version 1.43.3.10861 le 3 août 2026, soit une semaine après la divulgation coordonnée. Cependant, les détails techniques de la chaîne d'exploitation n'ont été rendus publics que le 16 octobre 2026, déclenchant une vague d'attaques dans la nature dès le lendemain.

Le fonctionnement de la chaîne Plex2Shell repose sur l'enchaînement de quatre failles distinctes. La première étape utilise CVE-2026-96655 (CVSS 5.3), une vulnérabilité de type SSRF (Server-Side Request Forgery) exploitant le paramètre de chemin du endpoint '/video/:/transcode/universal'. Cette faille permet de forcer le serveur Plex à effectuer des requêtes vers des adresses internes ou externes, servant à scanner l'infrastructure réseau interne ou à orchestrer les étapes suivantes de la chaîne d'exploitation.

La deuxième étape critique exploite CVE-2026-96656 (CVSS 8.6), classée comme une vulnérabilité de contrôle externe du nom ou du chemin de fichier (CWE-73). Cette faille permet à un attaquant d'écrire un objet partagé ELF (.so sous Linux) dans un répertoire Codecs accessible en écriture sur le système de fichiers du serveur, puis de déclencher son chargement et son exécution par le processus Plex Media Server. Le résultat est une exécution de code arbitraire avec les privilèges du service Plex, qui sur de nombreuses installations Linux tourne avec des droits élevés, parfois root.

Les CVE-2026-96652 et CVE-2026-96654 complètent la chaîne en permettant respectivement le contournement des contrôles d'authentification dans certaines configurations et la persistance sur le système cible. La chaîne complète est particulièrement dévastatrice car elle transforme un Plex Media Server standard — souvent exposé directement sur Internet par des particuliers ou des petites entreprises pour le streaming à domicile — en vecteur d'attaque complet permettant un accès shell sur le serveur hôte.

Plex a confirmé le 19 octobre 2026 que des attaques « actives et massives » ciblant cette chaîne de vulnérabilités étaient en cours. Selon le rapport de The Hacker News, les attaquants déploient principalement deux types de charges malveillantes : d'une part, le mineur de cryptomonnaie XMRig (minage de Monero) qui exploite les ressources CPU du serveur compromis, et d'autre part, des logiciels de proxy et de tunneling permettant d'utiliser le serveur comme relais réseau dans des botnets résidentiels à des fins d'anonymisation ou de revente de bande passante.

SecurityWeek rapporte que des exploits fonctionnels ont été développés en moins de 24 heures après la publication des détails techniques le 16 octobre 2026. Ce délai illustre le phénomène du « patch gap » : la vulnérabilité était corrigée depuis deux mois et demi (depuis le 3 août 2026), mais une proportion significative des utilisateurs Plex n'avait pas appliqué la mise à jour. L'annonce publique des détails techniques a immédiatement transformé une vulnérabilité théoriquement corrigée en exploitation active à grande échelle, démontrant une fois de plus l'importance critique de l'application rapide des correctifs de sécurité.

La surface d'attaque est significative : Plex Media Server est utilisé par des millions d'utilisateurs dans le monde, souvent configuré avec une exposition directe sur Internet pour le streaming à domicile. Les statistiques Shodan et Censys indiquaient que plus de 2 millions d'instances Plex Media Server étaient accessibles depuis Internet avant la divulgation. Les scanners automatisés ciblant les ports 32400/TCP et 32469/TCP (ports par défaut de Plex) ont été observés en forte hausse dès le 17 octobre 2026, selon plusieurs équipes de threat intelligence. La CISA a fixé une deadline de remédiation au 10 novembre 2026 pour les agences fédérales américaines, mais la recommandation s'applique à tous les exploitants.

Impact et exposition

Les utilisateurs les plus exposés sont ceux ayant configuré leur Plex Media Server en accès direct depuis Internet (port forwarding sur les ports 32400/TCP ou 32469/TCP), sans passer par le Plex Relay. Les installations sur des NAS domestiques (Synology, QNAP, Asustor), des Raspberry Pi, ou des serveurs Linux personnels sont particulièrement ciblées par les scanners automatisés. Les entreprises utilisant Plex pour la diffusion de médias internes sont également concernées si leur instance est accessible depuis des zones réseau non fiables.

L'exploitation ne nécessite pas d'accès authentifié dans la configuration la plus courante des déploiements exposés. Les attaques observées sont entièrement automatisées, ce qui signifie que tout serveur Plex vulnérable exposé sur Internet peut être compromis en quelques minutes après découverte par un scanner. Les conséquences incluent : surconsommation CPU par XMRig, installation d'une backdoor persistante, utilisation comme nœud proxy dans un botnet résidentiel, accès aux fichiers médias et documents, et potentiellement un pivot réseau vers d'autres machines sur le même réseau local.

Recommandations immédiates

• Mettre à jour Plex Media Server vers la version 1.43.3.10861 ou supérieure (disponible depuis le 3 août 2026 — Plex Security Advisory disponible sur le forum officiel Plex)
• Vérifier si votre instance Plex est exposée sur Internet via un outil de scan externe sur les ports 32400 et 32469
• Si la mise à jour est impossible : bloquer immédiatement l'accès externe aux ports Plex au niveau du pare-feu/routeur
• Rechercher les indicateurs de compromission : processus avec haute utilisation CPU inexpliquée, connexions sortantes vers pools de minage XMRig (ports 3333, 4444, 14444)
• Vérifier la présence de fichiers .so inattendus dans les répertoires Codecs de Plex (/var/lib/plexmediaserver/Library/.../Codecs/)
• Si une compromission est suspectée : effectuer une analyse forensique avant de mettre à jour pour préserver les preuves