Plex avverte gli utenti: aggiornate subito per correggere le vulnerabilità

Plex ha invitato gli utenti ad aggiornare immediatamente i propri server multimediali e il client desktop dopo aver corretto diverse vulnerabilità di sicurezza.

Gli sviluppatori non hanno ancora pubblicato gli identificativi CVE né dettagli tecnici sulle falle, spiegando che le richieste sono state inoltrate e che ulteriori informazioni arriveranno in seguito. Nel frattempo, l’azienda ha anche contattato direttamente via email gli utenti che utilizzano versioni interessate. La cautela è motivata dal rischio che l’analisi delle patch permetta di ricostruire le vulnerabilità e sviluppare exploit prima che tutti gli amministratori abbiano completato l’aggiornamento.

Quali versioni di Plex devono essere aggiornate

La correzione principale riguarda Plex Media Server 1.43.3, indicato da Plex come aggiornamento necessario per chi utilizza la versione 1.43.2 o una precedente. La release 1.43.3 è stata pubblicata il 19 maggio, mentre Plex Desktop 1.115.0 è arrivato il 13 agosto. L’avviso ufficiale è stato pubblicato il primo settembre e raccomanda a tutti i proprietari di server e agli utenti desktop di installare le versioni più recenti.

Una situazione particolare riguarda i server installati su NAS. Plex avverte che il pacchetto aggiornato potrebbe non essere ancora presente nel gestore software del dispositivo; in questo caso è possibile installare manualmente il pacchetto corretto. Prima dell’intervento conviene quindi controllare la versione effettivamente installata e verificare la disponibilità dell’aggiornamento attraverso i canali ufficiali. La raccomandazione è particolarmente importante per i server esposti a Internet, perché un aggiornamento mancato lascia in esecuzione proprio il software che Plex identifica come vulnerabile.

I precedenti di sicurezza rendono urgente la patch

L’avvertimento assume maggiore peso alla luce di precedenti problemi di sicurezza che hanno coinvolto Plex. Nell’agosto 2025 l’azienda aveva segnalato una vulnerabilità ad alta gravità identificata come CVE-2025-34158, associata alla possibilità di sottrarre le credenziali del proprietario del server. Nel marzo 2023, invece, CISA aveva inserito CVE-2020-5741 nel catalogo delle vulnerabilità sfruttate attivamente: il problema permetteva l’esecuzione di codice sul server Plex attraverso richieste appositamente costruite.

Anche l’episodio del 2022 resta rilevante per comprendere perché la gestione degli aggiornamenti non debba essere rimandata. Plex comunicò allora una violazione che aveva esposto indirizzi email, nomi utente e credenziali cifrate. Questi precedenti non dimostrano che le nuove vulnerabilità siano già sfruttate o collegate agli incidenti passati; indicano però che un server Plex compromesso può avere conseguenze oltre la semplice interruzione del servizio. Per gli amministratori, la misura più concreta resta quindi verificare la versione installata e portare Plex Media Server almeno alla 1.43.3, aggiornando anche il client desktop alla 1.115.0.