Saltar al contenido
Tecnologías emergentes en Latinoamérica y el mundoMiércoles 21 oct 2026

CiberseguridadVulnerabilidades

Fallas encadenadas en Plex Media Server dan control remoto y ya se explotan

CISA sumó a su catálogo de fallas explotadas cuatro errores que, juntos, permiten tomar un servidor Plex sin contraseña. Hay que actualizar a la versión corregida, disponible desde agosto.

Por Redacción LatamByte

Asistida por IA

Pantalla de una tableta con la ficha de la aplicación de Plex en la tienda de aplicaciones, con el logo de Plex en blanco y amarillo
Imagen: Mino Surkala / Shutterstock, vía Gizmodo

La agencia de ciberseguridad de Estados Unidos (CISA) sumó el 20 de octubre a su catálogo de fallas explotadas cuatro vulnerabilidades de Plex Media Server, el programa que mucha gente instala en su casa para ver sus películas y series desde cualquier dispositivo. Encadenadas, permiten que alguien sin usuario ni contraseña ejecute código en el servidor, y ya se usan para instalar mineros de criptomonedas. Plex las corrigió en agosto, pero miles de servidores siguen sin actualizar.

Cuatro pasos hasta el control del equipo

En simple, el atacante engaña al servidor para que le entregue la llave de su dueño y después deja un archivo que Plex ejecuta solo, según el análisis técnico del investigador Zach Main, que bautizó la cadena como Plex2Shell.

El primer eslabón, CVE-2026-96652, es una falsificación de peticiones del lado del servidor (SSRF), un error que hace que el servidor mande pedidos a donde el atacante quiera. La ruta /player/timeline solo comprueba que la petición traiga una clave de acceso, no que sea válida, y así Plex termina hablándose a sí mismo. Con CVE-2026-96654 el atacante llama a funciones internas de los complementos y consigue la clave de administrador del dueño. Después, CVE-2026-96655 y CVE-2026-96656 le permiten cambiar una opción del conversor de video para escribir un archivo en la carpeta de códecs, que Plex carga sin verificar su firma. El código corre con los permisos del servicio de Plex y vuelve a ejecutarse cada vez que el servidor convierte un video.

Por separado, la peor llega a 8,6 sobre 10 en la base de datos de vulnerabilidades de Estados Unidos (NVD). Juntas, el código publicado por Main les asigna 9,8.

Explotada desde el 17 de octubre

El estado es explotada. Main publicó los detalles y el código de prueba el 16 de octubre. Al día siguiente, el autor del blog BoredHackerBlog vio en un servidor señuelo con una versión vieja de Plex ataques que usaban ese mismo código, según contaron Gizmodo y SecurityWeek. Dejaron el minero XMRig y myawesomeproxy, un programa que alquila la conexión de la víctima a terceros para esconder su tráfico.

Las fuentes no coinciden en la escala. El aviso de Plex, actualizado el 19 de octubre, dice que las fallas "se están explotando de forma activa y amplia". Medios como Security Affairs aclaran que la evidencia pública viene de un solo señuelo y que no se sabe cuántos servidores reales cayeron. CISA no dijo de dónde salió su confirmación. Según datos de la fundación Shadowserver citados por Gizmodo, casi 49.000 servidores vulnerables seguían accesibles desde internet el sábado 18.

CISA dio a las agencias federales hasta el 23 de octubre para corregir dos de las fallas y hasta el 3 de noviembre para las otras dos. No es la primera vez de Plex en el catálogo. En 2023 entró CVE-2020-5741, una falla que, según Ars Technica citada por Gizmodo, se usó para entrar en la computadora de un ingeniero de LastPass.

Qué hacer

Hay que actualizar Plex Media Server a la versión 1.43.3.10861 o posterior. En Windows y Mac la actualización automática viene en modo "preguntarme", y en Linux, Docker y equipos NAS hay que hacerla a mano o renovar el contenedor.

Plex recomienda buscar señales de intrusión, como procesos desconocidos lanzados por Plex, como myawesomeproxy, mylovelyminer o x12345, archivos .so o .dll extraños en la carpeta de códecs, conexiones a proxystream.st y uso alto del procesador sin nada en reproducción. Si aparece alguna, aconseja reinstalar desde cero y cambiar la contraseña. Quien no mira su contenido fuera de casa puede desactivar el acceso remoto y cerrar el puerto 32400 en el router.

Ficha técnica

Contexto (1 término)
catálogo de vulnerabilidades explotadas conocidas (KEV)
Lista pública de la Agencia de Ciberseguridad y Seguridad de Infraestructura de Estados Unidos (CISA) que reúne vulnerabilidades con evidencia de explotación activa, para que se prioricen al corregir.

Glosario de LatamByte

Vulnerabilidades

Fuentes