インターネット上に公開されている36,000台を超えるPlex Media Serverが、複数のセキュリティ脆弱性に対して未修正のままとなっており、攻撃を受ける危険にさらされています。
Plexは1週間前、追跡用のCVE IDがまだ割り当てられていないセキュリティ問題について、メディアサーバーを直ちに保護するようユーザーに呼びかけていました。
同社は火曜日に警告を発した際、詳細な情報を追加で公表しませんでしたが、これらのセキュリティ上の欠陥はPlex Media Server v1.43.2以前のバージョンに影響を及ぼすことが判明しています。
該当バージョンを使用しているユーザーは、Plex Media Serverをバージョン1.43.3(5月19日にリリース)へ、またPlex Desktopクライアントをバージョン1.115.0(8月13日にリリース)へできるだけ早くアップグレードし、システムを保護するよう推奨されています。これらはサーバー管理ページまたは公式ダウンロードページから入手できます。
「私たちは最近、いくつかのセキュリティ問題に対応するためPlex Media Server 1.43.3とPlex Desktop 1.115.0をリリースしました。サーバー所有者およびDesktopユーザーの皆様には、できるだけ早く最新版へアップデートすることをお勧めします」とPlexは述べています。
「CVEの発行を申請済みで、公開され次第このスレッドで詳細をお伝えします。NASデバイスでPlex Media Serverを運用している場合、パッケージマネージャーにはまだ更新版が反映されていない可能性がありますが、手動でパッケージをインストールすることができます」
金曜日、非営利のセキュリティ組織Shadowserverは、インターネット上に公開されている36,000台を超えるPlex Media Serverインスタンスが、依然として未修正のまま攻撃を受ける可能性があると警告しました。
「2026-09-04以降、Plexがv1.43.2以前を対象に発行したアドバイザリを受けて、Plex Media Serverの未修正バージョンを毎日スキャン・報告しています。いまだ未修正のインスタンスが36,000件以上見つかっています」とShadowserverは述べています。
「CVEが発行されていないため、これらの脆弱性はセキュリティコミュニティから見えない状態にあり、効果的な対応の妨げとなっています」
Plexはこれまでのところこれらの脆弱性について詳細を明らかにしていませんが、攻撃者がパッチをリバースエンジニアリングしてエクスプロイトを開発する前に、ユーザーは同社の警告に従いサーバーを保護すべきです。というのも、今回はPlexが顧客に対しシステムを速やかにパッチ適用するようメールで直接呼びかけた、極めて数少ない事例の一つだからです。
2025年8月にもPlexは、サーバー所有者の認証情報を窃取するために悪用され得る、現在CVE-2025-34158として追跡されている深刻度の高い脆弱性について、パッチ適用をユーザーに警告していました。
CISAもまた、その2年前に、Plex Media Serverのリモートコード実行の脆弱性(CVE-2020-5741)が実際に悪用されているとして警告を発しました。この脆弱性は、攻撃者がサーバーに悪意のあるコードを実行させることを可能にするものです。
サイバーセキュリティ機関はCVE-2020-5741を悪用した攻撃についてこれ以上の情報をまだ公表していませんが、この脆弱性はおそらく、LastPassのシニアDevOpsエンジニアのコンピュータへの侵入に使われ、脅威アクターが認証情報を盗み出しLastPassの企業用保管庫を侵害した結果、2022年8月の大規模なデータ侵害につながったとみられています。
同じ月、Plexはデータ侵害についてユーザーに通知し、攻撃者がメールアドレス、ユーザー名、暗号化された認証情報を含むデータベースにアクセスしたため、パスワードのリセットを呼びかけました。
