- Cómo tener Plex sin parones con esta función por hardware de los NAS QNAP
- Plex pide a sus usuarios «actualizar de inmediato» para corregir importantes vulnerabilidades
Una cadena de vulnerabilidades en Plex Media Server permite a los atacantes instalar mineros de criptomonedas y software malicioso para crear una puerta trasera y acceder a los equipos. En total son cuatro fallos de seguridad y el investigador detrás de este descubrimiento, que se hace llamar boredhackerblog, ha denominado a este problema como “Plex2Shell”, como puedes ver en la publicación de su blog oficial con fecha de 17 de octubre.
Fallos de seguridad en Plex
Estos fallos de seguridad han recibido una puntuación de peligrosidad distinta, pero todos ellos, combinados, forman parte de este problema que puede comprometer los servidores Plex. Concretamente, las vulnerabilidades son las siguientes:
- CVE-2026-96652: esta vulnerabilidad ha recibido una puntuación de 5.3 en la escala CVSS. Se trata de un fallo de falsificación de peticiones del lado del servidor (SSRF) sin autenticación, que se origina a través del endpoint /player/timeline. El problema ocurre porque el parámetro protocol se inserta en una URL de reproductor generada mediante programación sin ninguna validación, lo que permite a un atacante obligar al servidor Plex a realizar una petición POST hacia un destino de su elección.
- CVE-2026-96654: el segundo fallo ha recibido una puntuación de 6.9 en la escala CVSS. Se trata de una neutralización inadecuada de valores de URL en el endpoint searchOne, que podría permitir a un atacante invocar funciones de otros complementos y proporcionar sus propios parámetros para obtener el token de administrador del propietario.
- CVE-2026-96655: el siguiente fallo ha obtenido una puntuación de peligrosidad de 5.3 en la escala CVSS. Es una vulnerabilidad SSRF que permite a un usuario autenticado solicitar direcciones internas o externas arbitrarias (como un archivo de vídeo alojado por el atacante que contiene una carga útil maliciosa) a través del parámetro de ruta /video/:/transcode/universal.
- CVE-2026-96656: el último fallo tiene una puntuación de 8.6 en la escala CVSS, por lo que es el más peligroso de los cuatro. Es un problema de control externo sobre el nombre o la ruta de un archivo, que permite escribir un objeto compartido ELF en una ubicación elegida por el atacante dentro del directorio Codecs y ejecutarlo.
Si todos estos fallos se combinan en este orden, permite la ejecución remota de código por parte de un atacante sin necesidad de autenticación.
Hay que mencionar que estos fallos fueron reportados por el investigador de seguridad Zach Main a Plex el pasado 27 de julio de 2026 y fueron corregidos el 3 de agosto de 2026 con la versión 1.43.3.10861.
Actualiza cuanto antes
El 16 de octubre publicaron la prueba de concepto, la cual puedes encontrar disponible en el repositorio de GitHub. A partir de ahí, el 17 de octubre detectaron la explotación efectiva de un honeypot. El hecho de que apareciera pública la prueba de concepto es lo que ha permitido a los atacantes explotar estos fallos.
Las vulnerabilidades no se solucionan cuando una plataforma, Plex en este caso, publica los parches, sino cuando los usuarios realmente los instalan. Por ello, es fundamental que tengas las últimas actualizaciones disponibles y puedas evitar así que los atacantes exploten tu dispositivo.
Por tanto, estamos ante problemas de seguridad que fueron detectados hace meses, el pasado julio, y que tienen parches de seguridad desde agosto, pero ha sido ahora, tras la publicación de la prueba de concepto, cuando están explotando los fallos. Asegúrate de tener las últimas versiones.