Plex ha pedido a los administradores de sus propios servidores multimedia que actualicen sus instalaciones de inmediato. Más de 36.000 servidores expuestos en internet siguen sin aplicar los parches que corrigen varias vulnerabilidades críticas, según ha confirmado la organización sin ánimo de lucro Shadowserver tras iniciar un escaneo diario de estos sistemas.
Desde hace unos días, Shadowserver rastrea a diario las versiones sin parchear de Plex Media Server, después de que la propia compañía emitiera un aviso sobre la versión 1.43.2. El seguimiento ha revelado que más de 36.000 instancias siguen expuestas y vulnerables, a pesar de que los parches están disponibles desde mayo y agosto. El problema de fondo es que estas fallas todavía no cuentan con identificadores CVE oficiales, lo que limita la capacidad de catalogación y la respuesta coordinada de la comunidad de seguridad.
Qué versiones de Plex hay que actualizar ya
Los fallos afectan a Plex Media Server en su versión 1.43.2 y a todas las anteriores. Mientras la compañía espera que se publiquen los CVE correspondientes, la actualización del software sigue siendo la única defensa real frente a un ataque. La versión que corrige estos problemas, la 1.43.3, está disponible desde el 19 de mayo. Si usáis el cliente de escritorio, la versión segura es la 1.115.0, publicada el 13 de agosto. Ambas se descargan desde la página de gestión del servidor o desde el portal oficial de descargas.
Plex ha sido tajante en su comunicado: recomienda a todos los propietarios de servidores y usuarios de Desktop actualizar cuanto antes. La compañía ha confirmado que ya ha solicitado los CVE y que compartirá más detalles técnicos en cuanto se publiquen. Hasta que eso ocurra, aplicar el parche de forma manual sigue siendo la única barrera efectiva frente a un posible ataque.
En los NAS, la actualización no llega sola
Quienes tengan Plex instalado en un dispositivo NAS deben prestar atención a un matiz importante. Plex ha avisado de que la versión corregida puede no estar disponible todavía en el gestor de paquetes de estos equipos, así que hay que descargar el paquete correspondiente desde el portal oficial de Plex e instalarlo de forma manual, sin esperar a que llegue como actualización automática. Este matiz técnico afecta a un segmento amplio de usuarios, ya que muchos optan por alojar su biblioteca multimedia en estos dispositivos por su bajo consumo energético y su disponibilidad constante las 24 horas.
Los NAS suelen concentrar bibliotecas completas de fotos, vídeos y documentos personales, lo que podría convertir a estos equipos en un objetivo atractivo si un atacante lograra acceso al sistema. La compañía ha optado, además, por enviar correos electrónicos directos a sus clientes insistiendo en la necesidad de aplicar el parche cuanto antes, algo que reconoce hacer en muy pocas ocasiones. Ese contacto directo desde soporte técnico refleja la urgencia que la propia Plex atribuye a este fallo y confirma que la compañía considera insuficiente el aviso público para lograr que todos los usuarios actualicen sus sistemas a tiempo.
Historial de fallos que incluye el robo de credenciales
Plex ya avisó en agosto de 2025 de otra vulnerabilidad de alta severidad, catalogada como CVE-2025-34158, que permitía robar las credenciales del propietario del servidor. Una vez que un atacante dispone de credenciales válidas, moverse dentro de la red y ampliar el acceso resulta mucho más sencillo. La falla, ya corregida en versiones posteriores, muestra cómo el acceso a esas credenciales podría facilitar movimientos posteriores dentro de la red del propietario.
Dos años antes, en 2022, la agencia estadounidense CISA marcó como explotada activamente la vulnerabilidad de ejecución remota de código CVE-2020-5741, que afectaba también a Plex Media Server. Aquel fallo se relacionó probablemente con el hackeo del ordenador de un ingeniero senior de LastPass, el episodio que desencadenó la masiva brecha de datos de agosto de 2022 en la compañía de gestión de contraseñas. Ese mismo mes, Plex tuvo que notificar a sus usuarios otro incidente distinto: el acceso de atacantes a una base de datos con correos electrónicos, nombres de usuario y credenciales cifradas.
Con los paquetes 1.43.3 y 1.115.0 ya disponibles desde mayo y agosto respectivamente, la responsabilidad recae ahora en los administradores de los más de 36.000 servidores todavía expuestos. Plex ha prometido publicar los identificadores CVE en el hilo de su aviso original en cuanto estén listos, lo que permitirá a la comunidad de seguridad documentar formalmente estas vulnerabilidades y desarrollar defensas específicas contra ellas.