Более 36 000 Plex-серверов остаются уязвимыми из-за отсутствия обновлений
Свыше 36 000 экземпляров Plex Media Server, доступных из интернета, по-прежнему работают на версиях с неисправленными уязвимостями. Это означает, что владельцы таких систем могут стать целью атак, особенно если серверы используются для удалённого доступа к медиатеке и подключены к домашней или корпоративной сети.
Компания Plex ранее призвала пользователей как можно скорее принять меры после обнаружения нескольких проблем безопасности. На момент публикации предупреждения уязвимостям ещё не присвоили идентификаторы CVE, поэтому отслеживать их было сложнее. Дополнительные сведения о характере дефектов также пока не раскрывались.
Проблема затрагивает Plex Media Server версии 1.43.2 и более ранние выпуски. Для устранения рисков разработчики выпустили версию 1.43.3, а пользователям настольного клиента рекомендовали установить Plex Desktop 1.115.0. Обновление Plex Media Server можно выполнить через панель управления сервером либо скачать установочный пакет с официальной страницы загрузки.
"Мы недавно выпустили Plex Media Server 1.43.3 и Plex Desktop 1.115.0, чтобы устранить ряд проблем безопасности. Мы рекомендуем всем владельцам серверов и пользователям Desktop как можно скорее перейти на актуальные версии", - заявили в Plex.
Отдельное внимание необходимо уделить владельцам NAS-устройств. Обновлённый пакет может появиться в их встроенном каталоге с задержкой. В такой ситуации Plex допускает ручную установку подходящей версии, однако перед этим важно проверить совместимость пакета с конкретной моделью NAS и сохранить резервную копию настроек.
О масштабах проблемы сообщила организация Shadowserver, которая регулярно сканирует интернет в поисках потенциально опасных конфигураций. По её данным, с 4 сентября 2026 года специалисты ежедневно выявляют и передают сведения о не обновлённых установках Plex. Всего обнаружено более 36 000 доступных извне серверов, использующих уязвимые версии.
Подробный разбор кампании и статистики доступных систем опубликован в материале о том, что [более 36 000 Plex-серверов остаются без защиты](https://www.bleepingcomputer.com/news/security/over-36-000-plex-servers-unpatched-against-recently-disclosed-flaws/). Отсутствие CVE для новых проблем осложняет работу служб мониторинга и администраторов: уязвимости не всегда попадают в автоматизированные системы контроля, базы угроз и отчёты средств защиты.
Эксперты предупреждают, что публичное объявление о выпуске исправления может ускорить поиск способа эксплуатации. Злоумышленникам достаточно сравнить старую и новую версии программного обеспечения, чтобы попытаться определить устранённый дефект и создать рабочий эксплойт. Поэтому установка патча особенно важна до того, как технические подробности станут общедоступными.
История Plex уже показывает, что подобные предупреждения нельзя игнорировать. В августе 2025 года пользователям рекомендовали закрыть уязвимость высокой степени опасности CVE-2025-34158, которая могла использоваться для кражи учётных данных владельца сервера. Ранее CISA включала в перечень активно эксплуатируемых угроз проблему удалённого выполнения кода CVE-2020-5741. При успешной атаке злоумышленник мог заставить сервер выполнить вредоносные команды.
Кроме того, Plex сообщала об инциденте, связанном с доступом посторонних к базе данных. В ней находились адреса электронной почты, имена пользователей и зашифрованные пароли. Компания рекомендовала клиентам сменить пароли, особенно если они повторно использовались на других сервисах.
Как защитить Plex Media Server
Первый шаг - проверить текущую версию сервера и установить обновление Plex Media Server до 1.43.3 или более свежего выпуска. После обновления следует перезапустить службу и убедиться, что все подключаемые клиенты также используют актуальные версии. Старые приложения могут сохранять небезопасные механизмы авторизации и создавать дополнительный путь для атаки.
Для повышения уровня защиты Plex Media Server желательно отключить прямой доступ из интернета, если он не нужен постоянно. Доступ к панели администрирования лучше ограничить через VPN, межсетевой экран или список разрешённых IP-адресов. Автоматическую переадресацию портов на маршрутизаторе стоит проверить отдельно: функция UPnP иногда открывает доступ без явного уведомления пользователя.
Не менее важны уникальный сложный пароль и многофакторная аутентификация для учётной записи Plex. Пароли от Plex нельзя использовать повторно на почте, в облачных хранилищах или других сервисах. Также необходимо проверить список активных сеансов и удалить неизвестные устройства.
Безопасность Plex Media Server зависит не только от исправлений, но и от общей конфигурации. Сервер следует запускать с минимально необходимыми правами, регулярно обновлять операционную систему и NAS, ограничивать доступ к каталогам с личными файлами и создавать резервные копии важных данных. Если удалённое подключение не используется, его лучше полностью отключить.
Пользователям, которые сомневаются в настройках, стоит пройтись по официальным параметрам безопасности и проверить журналы входов. Необычные авторизации, неожиданные изменения конфигурации или неизвестные устройства могут свидетельствовать о компрометации. Вопрос "как защитить Plex Media Server" в первую очередь сводится к своевременным обновлениям, минимизации внешней доступности и контролю учётных записей.
Пока Plex не раскрыла полный технический состав новых проблем и не опубликовала CVE, владельцам серверов не следует ждать дополнительных разъяснений. Чем дольше уязвимая установка остаётся доступной из интернета, тем выше вероятность автоматизированной атаки или подбора уже подготовленного сценария взлома.
