Plex ha instado a sus usuarios a actualizar urgentemente el servidor de medios (v1.43.3) y el cliente de escritorio (v1.115.0) para corregir múltiples vulnerabilidades de seguridad. Aunque aún no se han proporcionado detalles técnicos ni códigos CVE, la empresa ha contactado directamente a los usuarios afectados vía correo electrónico. Se recomienda realizar la actualización inmediata para evitar posibles ataques y exploits.





Plex instó a los usuarios esta semana a actualizar sus clientes de escritorio y servidores de medios inmediatamente para parchear múltiples vulnerabilidades de seguridad.

Estas fallas aún no han sido asignadas con IDs de CVE para un seguimiento sencillo, y aunque Plex no proporcionó detalles adicionales el martes [enlace], se sabe que los problemas de seguridad afectan a Plex Media Server v1.43.2 y versiones anteriores.

Plex también envió correos electrónicos a los usuarios que ejecutan las versiones afectadas y les pidió que se actualizaran lo antes posible para solucionar estas fallas de seguridad.

"Recientemente lanzamos Plex Media Server 1.43.3 y Plex Desktop 1.115.0 para abordar una serie de problemas de seguridad. Recomendamos que todos los propietarios de servidores y usuarios de Desktop actualicen a la versión más reciente lo antes posible", afirmó la empresa [enlace].

"Se han solicitado CVEs y responderemos a este hilo con más detalles una vez que se publiquen. Si ejecuta Plex Media Server en un dispositivo NAS, es posible que la versión actualizada aún no esté disponible en su administrador de paquetes, pero puede instalar el paquete manualmente".

Se aconseja a quienes utilicen versiones afectadas que aseguren sus sistemas lo antes posible actualizando Plex Media Server a la versión 1.43.3 (lanzada el 19 de mayo [enlace]) y el cliente Plex Desktop a la 1.115.0 (lanzada el 13 de agosto [enlace]), que pueden descargarse desde la página oficial de descargas [enlace] o la página de gestión del servidor.

Correo electrónico de Plex (Jedi-Master_Kenobi [enlace])

Aunque Plex no ha compartido ningún detalle sobre estas vulnerabilidades hasta ahora, los usuarios deberían seguir el consejo de la empresa y asegurar sus sistemas antes de que los atacantes realicen ingeniería inversa de los parches y desarrollen un exploit.

Si bien Plex ha parcheado múltiples fallas de seguridad críticas a lo largo de los años, este es uno de los pocos casos en los que también ha enviado correos electrónicos a los clientes sobre la actualización de sus sistemas para abordar una vulnerabilidad específica.

En agosto de 2025, la empresa también advirtió a los usuarios que parchearan una vulnerabilidad de alta gravedad rastreada como CVE-2025-34158 que permite a los actores de amenazas robar las credenciales del propietario del servidor.

Dos años antes, en marzo de 2023, la CISA señaló una falla de ejecución remota de código en Plex Media Server (CVE-2020-5741) como activamente explotada, lo que puede permitir a los atacantes hacer que el servidor ejecute código malicioso [enlace].

Aunque la CISA no compartió detalles sobre los ataques que explotaron CVE-2020-5741, probablemente estaban vinculados a la revelación de LastPass de que la computadora de uno de sus ingenieros senior de DevOps había sido hackeada en 2022 utilizando un error RCE de un software de medios de terceros para instalar malware de registro de teclas.

Los atacantes utilizaron este acceso para robar las credenciales del ingeniero y comprometer la bóveda corporativa de LastPass, lo que llevó a una filtración masiva de datos en agosto de 2022 después de que robaran las copias de seguridad de la base de datos de LastPass.

El mismo mes, Plex notificó a los usuarios sobre una filtración de datos y les advirtió que restablecieran sus contraseñas después de que los atacantes obtuvieran acceso a una base de datos que contenía correos electrónicos, nombres de usuario y credenciales cifradas.

Fuente:
BleepingComputer