Plex hat in dieser Woche zum sofortigen Update aufgerufen: Mit Plex Media Server 1.43.3 und Plex Desktop 1.115.0 schließt das Unternehmen nach eigenen Angaben “eine Reihe von Sicherheitsproblemen”. Betroffen sind demnach Plex Media Server in Version 1.43.2 und früher.
“Wir empfehlen allen Serverbetreibern und Desktop-Nutzern, so bald wie möglich auf die neueste Version zu aktualisieren”, teilte das Unternehmen mit. CVE-Kennungen seien beantragt; sobald sie veröffentlicht würden, wolle Plex weitere Details im selben Diskussionsstrang nachreichen. Bis dahin fehlen öffentliche Angaben zu Art und Schweregrad der Lücken.
Ein gesonderter Hinweis gilt NAS-Betreibern: Die aktualisierte Fassung sei im Paketmanager des jeweiligen Herstellers möglicherweise noch nicht verfügbar, das Paket lasse sich aber manuell installieren. Plex Media Server 1.43.3 wurde am 19. Mai veröffentlicht, Plex Desktop 1.115.0 am 13. August; beide stehen über die offizielle Download-Seite sowie die Serververwaltung bereit.
Bemerkenswert ist der Kommunikationsweg. Plex hat Nutzer betroffener Versionen zusätzlich per E-Mail angeschrieben. Zwar hat das Unternehmen über die Jahre mehrfach kritische Schwachstellen behoben, direkte E-Mail-Aufforderungen zu einem konkreten Update sind jedoch die Ausnahme geblieben.
Ohne technische Details bleibt Anwendern nur, dem Rat des Herstellers zu folgen — zumal Angreifer aus veröffentlichten Patches durch Rückwärtsanalyse einen Exploit ableiten können, bevor offizielle Informationen vorliegen.
Die Vorgeschichte zeigt, dass Plex-Server ein lohnendes Ziel sind. Im August 2025 warnte das Unternehmen vor der als CVE-2025-34158 geführten Schwachstelle mit hohem Schweregrad, über die Angreifer die Zugangsdaten des Serverbetreibers stehlen konnten. Bereits im März 2023 hatte die US-Cybersicherheitsbehörde CISA eine Lücke zur Codeausführung aus der Ferne in Plex Media Server (CVE-2020-5741) als aktiv ausgenutzt eingestuft. Über diese Schwachstelle können Angreifer den Server dazu bringen, Schadcode auszuführen.
Details zu den Angriffen nannte CISA damals nicht. Sie standen aber wahrscheinlich im Zusammenhang mit einem Vorfall bei LastPass: Dort war 2022 der Rechner eines leitenden DevOps-Ingenieurs über eine RCE-Lücke in einer Mediensoftware eines Drittanbieters kompromittiert und mit einem Keylogger infiziert worden. Die Angreifer erbeuteten so die Zugangsdaten des Mitarbeiters, drangen in den Unternehmens-Tresor von LastPass ein und stahlen Datenbank-Backups — die Grundlage des großen Datenlecks vom August 2022.
Im selben Monat informierte auch Plex selbst über eine Datenpanne: Angreifer hatten Zugriff auf eine Datenbank mit E-Mail-Adressen, Benutzernamen und verschlüsselten Zugangsdaten erlangt. Plex forderte seine Nutzer damals auf, ihre Passwörter zurückzusetzen.