Plex ha confirmado que las vulnerabilidades de Plex Media Server publicadas en septiembre «están siendo explotadas de forma activa y amplia». La frase es literal y está en su aviso de seguridad, actualizado el 19 de octubre. Encadenados, los fallos permiten a un atacante remoto sin autenticar ejecutar código con los privilegios del proceso del servidor.
Lo llamativo no es el aviso. Es que la versión corregida está disponible desde principios de agosto y, el día antes de que la cadena se hiciera pública, alrededor de un tercio del parque seguía siendo vulnerable.
Actualizar a Plex Media Server 1.43.3.10861 o posterior. La versión se comprueba en Ajustes → General de Plex Web. En Plex Desktop, la corrección va en la 1.115.0.
Hay una trampa que conviene conocer: la build 1.43.3.10828 parece de la serie corregida y no lo es. Según la telemetría de Censys, unos 8.000 servidores corren precisamente esa.
