36,000台以上のPlexサーバーが未修正のまま露出

Plexが、技術的な説明を明らかにする前に、まずは対応を急ぐようホームメディアサーバーの所有者に改めて呼びかけています。同社は9月1日、Plex Media Serverをバージョン1.43.3以降に、Plex Desktopを1.115.0にアップデートするよう求めました。新しいビルドではいくつかのセキュリティ問題が修正されているためです。現時点でPlexは、脆弱性の仕組みやその影響について詳細を明らかにしていません。

理論上の問題ではなく、規模の問題

老朽化したインストール環境の規模の大きさから、この問題はもはや理論上のものではなくなっています。Shadowserverは9月4日から継続的にインターネットをスキャンしており、9月9日までにバージョン1.43.2以下で稼働する36,000台を超える公開状態のPlex Media Serverを発見しました。同組織は、この調査がソフトウェアのバージョンに基づくものであるため、この数字が36,000件の侵害を確認したことを意味するわけではないと強調しています。

Plexが公開した当初のアドバイザリ、「Plex Media Server v1.43.2以前向けの重要なセキュリティアップデート」では、推奨バージョンが示されていましたが、それ以上の詳細は控えられていました。

CVEはまだ存在せず、防御側の対応を難しくしている

修正された問題には、現時点で公開されているCVE識別子も、CVSSスコアも、攻撃ベクトルの説明もありません。Plexは、CVEの発行を要請済みであり、割り当てられ次第詳細を追加すると述べています。Shadowserverが脆弱性HTTPレポーティングサービスで説明しているように、識別子が存在しないことは防御側にとって深刻な障害となります。スキャナーや脆弱性管理システムがこうした問題を適切に追跡できなくなるためです。

プラットフォーム別のアップデート方法

WindowsおよびmacOSでは、Plexは自動アップデートの確認、または最新ビルドの手動インストールを推奨しています。Linuxでは、同社は現行パッケージのダウンロードを提案しており、Dockerについては公式リポジトリを案内しています。NASの所有者はより注意が必要です。必要なバージョンがメーカーのストアにまだ反映されていない可能性があるため、Plexはパッケージの手動インストールを許可しています。

おなじみとなった閉鎖的なコミュニケーションのパターン

このような口の堅い情報開示は、Plexにとってすでにおなじみのパターンです。2025年8月にも同社は、一部のサーバー所有者に対して緊急アップデートを同様に警告しましたが、その際も脆弱性の技術的な説明はありませんでした。その問題は後に識別子と深刻度「高」の評価を受けています。今回の警告はより広い範囲の旧バージョンに及んでいますが、両者の関連性は明らかにされていません。

Plexに対する警戒には、過去の経緯があります。2023年、このメディアサーバーの名前はLastPassへの攻撃に関する調査の中で浮上しました。攻撃者は、侵入の連鎖の一環として、あるエンジニアの自宅コンピューター上にあった古いPlexの脆弱性を悪用した可能性が高いとされています。ただし、今回の脆弱性については悪用が確認されているわけではないため、両者のケースを直接比較することはできません。