Plex a exhorté ses utilisateurs à mettre immédiatement à jour Plex Media Server et l’application Plex Desktop, après la publication de mises à jour corrigeant plusieurs failles de sécurité. L’entreprise n’a pas encore divulgué les détails de ces failles ni leur niveau de gravité, et elles n’ont pas reçu de numéros CVE, mais elle a confirmé que les problèmes affectent Plex Media Server en version 1.43.2 et antérieure.
Plex a envoyé des courriels aux utilisateurs qui exécutent des versions concernées, dans une démarche qui reflète sa volonté d’accélérer les mises à jour plutôt que de se contenter d’une annonce générale.
Versions requises et dates de publication
L’entreprise a publié Plex Media Server 1.43.3 pour corriger plusieurs problèmes de sécurité et a déclaré que les propriétaires de serveurs devraient installer cette version dès que possible. Selon les informations publiées, cette version est sortie le 19 mai 2026. Plex a également lancé la version 1.115.0 de Plex Desktop le 13 août 2026 et recommande aux utilisateurs de l’application d’y passer.
Les versions peuvent être téléchargées depuis la page officielle des téléchargements ou depuis la page de gestion du serveur. Les utilisateurs qui exécutent Plex Media Server sur des appareils NAS pourraient toutefois ne pas encore trouver la version mise à jour dans le gestionnaire de paquets de leur appareil. Plex a donc indiqué qu’il était possible d’installer manuellement le paquet.
Pourquoi cet avertissement est-il important ?
L’absence de numéros CVE et de détails techniques rend difficile la détermination de l’étendue de l’impact ou des méthodes d’exploitation, mais elle ne réduit pas la priorité de la mise à jour. La recommandation de Plex repose sur la possibilité que des attaquants étudient les modifications introduites par les nouvelles versions, puis tentent de développer un exploit pour les anciennes versions avant la publication des détails officiels.
Les antécédents du produit indiquent que les serveurs Plex ont été la cible de problèmes de sécurité importants. En août 2025, l’entreprise a mis en garde contre une faille de gravité élevée portant le numéro CVE-2025-34158, qui permettrait aux attaquants de voler les identifiants du propriétaire du serveur. En mars 2023, l’Agence américaine de cybersécurité et de sécurité des infrastructures (CISA) a inscrit la faille d’exécution de code à distance CVE-2020-5741 parmi les vulnérabilités exploitées.
Plex avait également informé ses utilisateurs en août 2022 d’une violation de données et leur avait demandé de réinitialiser leurs mots de passe après que des attaquants eurent accédé à une base de données contenant des adresses électroniques, des noms d’utilisateur et des identifiants chiffrés. L’avertissement actuel ne prouve pas l’existence d’une exploitation active ni un lien avec ces incidents précédents : les détails techniques des nouvelles failles n’ont pas encore été publiés.
Que faut-il vérifier ?
La mesure immédiate pour les propriétaires de serveurs et les utilisateurs des clients consiste à vérifier le numéro de version et à mettre à jour Plex Media Server vers la version 1.43.3 et Plex Desktop vers la version 1.115.0. Les environnements NAS doivent vérifier la disponibilité du paquet dans le gestionnaire système ou suivre l’option d’installation manuelle mentionnée par l’entreprise. La nature des failles, la possibilité de les exploiter et la nécessité éventuelle de mesures de protection supplémentaires restent des questions ouvertes jusqu’à la publication des numéros CVE et des détails associés.