Plex Media Server: corrija e investigue a cadeia CVE-2026-96652 a CVE-2026-96656

Resumo executivo

As CVE-2026-96652, CVE-2026-96654, CVE-2026-96655 e CVE-2026-96656 formam uma cadeia que atravessa controles internos do Plex Media Server, expõe o token administrativo e permite gravar um arquivo carregado pelo serviço. O efeito conjunto confirmado pelo fornecedor é execução remota de código sem autenticação.

O risco alcança ambientes domésticos, pequenos escritórios e empresas que mantêm o servidor publicado. Além do próprio host, entram no escopo de análise compartilhamentos de mídia, credenciais e outros recursos acessíveis pela conta do serviço.

Versões afetadas e corrigidas

Confirme a versão no painel do Plex em Configurações → Geral. Imagens de contêiner, appliances e pacotes de terceiros devem ser atualizados e recriados; não presuma que a atualização do sistema operacional substituiu a atualização do Plex.

Impacto e evidências disponíveis

O aviso do Plex informa ataques disseminados contra servidores desatualizados e expostos. Entre os efeitos observados estão execução de mineradores de criptomoeda e software de proxy, que pode fazer o tráfego de terceiros sair pela conexão da vítima. A CISA adicionou as quatro vulnerabilidades ao catálogo de vulnerabilidades conhecidamente exploradas em 20 de outubro de 2026.

• Processos filhos desconhecidos iniciados pelo Plex Media Server.
• Bibliotecas .so ou .dll não reconhecidas na pasta Codecs.
• Uso elevado e persistente de CPU quando não há transcodificação legítima.
• Conexões de saída inesperadas e opções de transcodificação que a equipe não configurou.

Esses sinais não são uma lista exaustiva. A ausência deles não comprova integridade.

Resposta imediata

1. Preserve logs e evidências relevantes antes de limpar arquivos ou reiniciar o host, conforme o plano de resposta a incidentes.
2. Atualize para 1.43.3.10861 ou posterior e confirme a versão do processo efetivamente em execução.
3. Se o servidor vulnerável esteve acessível pela internet, procure processos, bibliotecas, conexões e alterações de configuração não autorizadas.
4. Quando houver indício de comprometimento ou não for possível descartá-lo, reconstrua o servidor a partir de instalação e mídia confiáveis, sem reutilizar o diretório de dados antigo.
5. Encerre as sessões conectadas, altere a senha da conta Plex e revise credenciais ou tokens alcançáveis pela conta do serviço.
6. Analise compartilhamentos montados e demais ativos acessíveis pelo host; a atualização não remove persistência criada antes da correção.

Mitigação e hardening

• Desative o acesso remoto do Plex quando ele não for necessário e remova encaminhamentos diretos da porta 32400.
• Quando o acesso remoto for necessário, limite a exposição por VPN ou controle de acesso equivalente e mantenha o painel administrativo fora da internet.
• Execute o serviço com usuário sem privilégios e conceda somente leitura às bibliotecas que não precisam ser alteradas.
• Separe o Plex de documentos, backups, cofres de senha e compartilhamentos corporativos; evite armazenar segredos no mesmo host.
• Monitore processos filhos, alterações na pasta Codecs, conexões de saída e picos de CPU.
• Mantenha atualização automática ou um processo de correção com inventário, alerta de versão e validação pós-deploy.