// FRANDROID — CYBERSECURITY
Votre Plex mine de la crypto Monero à votre insu : voici comment c’est possible
On installe Plex pour regarder sa collection de films à distance. Pour ça, on ouvre un port sur sa box, et on n’y pense plus. Ce petit serveur reste pourtant joignable depuis Internet en permanence, et des pirates scannent justement les ports ouverts à la recherche de machines oubliées.
Le 1er septembre 2026, Plex a demandé à tous les propriétaires de serveurs de passer en version 1.43.3, par une alerte sur son forum et un e-mail direct. L’éditeur avait déjà procédé ainsi en août 2025 pour la faille CVE-2025-34158. Attention au numéro exact : seule la version 1.43.3.10861 ou plus récente corrige le problème. Quatre identifiants ont été attribués le 23 septembre : CVE-2026-96652, 96654, 96655 et 96656.
Le chercheur Zach Main avait signalé ces failles à Plex dès le 27 juillet, contre une prime de 500 dollars (environ 430 €). Ce vendredi 16 octobre, il a publié son analyse complète et son code de démonstration. Dès le lendemain, un autre chercheur voyait son pot de miel, un faux serveur Plex laissé en pâture, attaqué avec ce code. Début septembre, la fondation Shadowserver recensait déjà plus de 36 000 serveurs Plex exposés et non corrigés.
L’attaque ne demande aucun identifiant valide : il suffit que le serveur soit joignable sur son port 32400. L’attaquant présente d’abord un jeton bidon, que Plex accepte parce qu’il vérifie seulement que le champ existe. Il force ensuite le serveur à s’envoyer une requête à lui-même, ce qui ouvre une interface interne réservée à la machine locale. De là, il détourne le module qui récupère les fiches de séries télé pour voler le jeton administrateur. Avec ce jeton, il pousse le transcodeur vidéo à écrire un fichier piégé dans le dossier des codecs, que Plex charge ensuite tout seul. Du code s’exécute alors sur la machine, avec les droits du compte Plex.
Zach Main note l’ensemble 10 sur 10 sur l’échelle de gravité CVSS, le maximum. Il explique avoir mené cette traque en s’appuyant largement sur des modèles d’IA, tout en prenant lui-même les décisions. Un pirate qui balaie Internet au hasard peut donc compromettre un serveur sans rien savoir de son propriétaire.
Pour l’instant, le butin reste modeste : les serveurs piratés deviennent des mineurs de cryptomonnaie (du Monero, via le logiciel XMRig), qui font tourner le ventilateur et grimper la facture. Le pot de miel n’est pas seul en cause : sur le forum de Plex, un utilisateur raconte que son conteneur s’est mis à miner du jour au lendemain.
Le plus gênant est ailleurs. Beaucoup de serveurs Plex tournent sur des connexions résidentielles, et une adresse IP de particulier permet à un attaquant de masquer son trafic. Sur le pot de miel, un logiciel de proxy baptisé myawesomeproxy s’est installé en plus du mineur, en prévenant au passage que le trafic Internet de la machine pourrait être réutilisé. Votre box sert alors de couverture à des activités dont vous ignorez tout.
Si les mises à jour automatiques sont actives et que le serveur affiche la version 1.43.3.10861 ou plus récente, la faille est bouchée. Les NAS Synology, QNAP, Ugreen, TerraMaster ou équivalents demandent plus d’attention, car la mise à jour passe par le gestionnaire de paquets du constructeur et peut y arriver en retard. Plex conseille alors de télécharger le paquet sur son site et de l’installer à la main.
Mettre à jour ne suffit pas si le serveur a déjà été visité. Le fichier piégé reste dans le dossier Codecs de Plex et se relance à chaque transcodage, même après avoir coupé le mineur. Si votre serveur était exposé et en retard de mise à jour, il faut y chercher des fichiers .so (ou .dll sous Windows) que vous n’y avez pas mis.
Le meilleur rempart consiste à ne pas exposer Plex directement sur Internet : un serveur accessible seulement en local ou derrière un VPN échappe à ces scans automatisés.