Plex выпустила срочные обновления Media Server и Desktop
Plex призвала владельцев серверов и пользователей настольного клиента как можно скорее установить Plex Media Server 1.43.3 и Plex Desktop 1.115.0. Обновления устраняют несколько уязвимостей, подробности которых компания пока не раскрыла; для них уже запрошены идентификаторы CVE.
Какие версии нужно установить
Разработчик не описал характер ошибок, их серьёзность, условия эксплуатации и затронутые конфигурации. Поэтому Plex рекомендует обновление всем владельцам Plex Media Server и пользователям Plex Desktop, а не только тем, кто считает свою установку доступной из интернета.
Отдельное предупреждение относится к NAS-устройствам. Новая сборка может ещё не появиться в пакетном менеджере производителя, однако Plex предлагает установить пакет вручную. После обновления стоит убедиться, что фактически используется версия 1.43.3, а на рабочих компьютерах — Plex Desktop 1.115.0.
Почему открытые серверы требуют внимания
По подсчётам Censys, веб-интерфейс Plex Media Server доступен более чем на 360 000 устройствах. Это не означает, что все они подвержены новым проблемам, однако масштаб внешней экспозиции делает своевременную установку исправлений особенно важной.
У Plex уже были серьёзные проблемы безопасности. В августе 2025 года компания исправила CVE-2025-34158 с оценкой CVSS 8,5. Ошибка аутентификации в конечной точке /myplex/account могла раскрывать данные учётной записи владельца сервера, включая административный токен доступа, аутентифицированному пользователю без прав владельца.
Дальнейший запрос к API /api/resources позволял получить сведения о других серверах, доступных владельцу. Сочетание этих вызовов формировало цепочку для обнаружения инфраструктуры. Ранее, в 2021 году, Plex выпускала исправление для проблемы, позволявшей использовать сервер для отражения UDP-пакетов в DDoS-атаках.
Что проверить организациям
Организациям, использующим Plex, следует включить обе версии в приоритетный цикл обновления, особенно для серверов с веб-интерфейсом, доступным извне. Также стоит проверить установки на NAS, где автоматическая доставка пакета может задержаться, и подтвердить успешное применение обновления. Пока детали новых уязвимостей не опубликованы, именно обновление остаётся рекомендацией Plex для снижения риска.