Plex hatte an einem Dienstag vor einer Warnung an die eigene Nutzerschaft veröffentlicht, ohne Einzelheiten zu den behobenen Fehlern zu nennen. Bekannt ist lediglich, dass Plex Media Server bis einschließlich Version 1.43.2 betroffen ist.
“Wir haben kürzlich Plex Media Server 1.43.3 und Plex Desktop 1.115.0 veröffentlicht, um eine Reihe von Sicherheitsproblemen zu beheben. Wir empfehlen allen Serverbetreibern und Desktop-Nutzern, so bald wie möglich auf die neueste Version zu aktualisieren”, teilte das Unternehmen mit. CVE-Kennungen seien beantragt worden; sobald sie veröffentlicht sind, wolle man weitere Details nachreichen. Wer Plex Media Server auf einem NAS betreibt, findet die aktualisierte Fassung womöglich noch nicht im Paketmanager des Herstellers – Plex verweist in diesem Fall auf die manuelle Installation des Pakets.
Shadowserver meldete am Freitag, dass mehr als 36.000 online exponierte Instanzen weiterhin ungepatcht und damit potenziell angreifbar sind. “Seit dem 04.09.2026 scannen und melden wir täglich ungepatchte Versionen von Plex Media Server als Reaktion auf ein Advisory von Plex zu v1.43.2 und älter. Über 36.000 Instanzen sind weiterhin ungepatcht”, so die Organisation. Und weiter: “Es wurden keine CVEs vergeben, was bedeutet, dass die Schwachstellen für die Sicherheitsgemeinde unsichtbar sind und eine wirksame Reaktion begrenzt wird.”
Da Plex bislang keine Details offengelegt hat, bleibt Serverbetreibern vor allem, dem Rat des Anbieters zu folgen, bevor Angreifer die Patches rückwärts analysieren und einen Exploit entwickeln.
Plex-Server standen bereits mehrfach im Fokus. Im August 2025 warnte das Unternehmen vor einer hochriskanten Schwachstelle, die inzwischen unter CVE-2025-34158 geführt wird und sich zum Diebstahl der Zugangsdaten des Serverbesitzers ausnutzen lässt. Zwei Jahre zuvor hatte die US-Behörde CISA eine Lücke zur Codeausführung aus der Ferne in Plex Media Server (CVE-2020-5741) als aktiv ausgenutzt eingestuft; über die Angriffe selbst machte die Behörde bislang keine näheren Angaben.
Mutmaßlich wurde CVE-2020-5741 genutzt, um den Rechner eines leitenden DevOps-Engineers von LastPass zu kompromittieren – Ausgangspunkt des großen Datenlecks vom August 2022, bei dem Angreifer Zugangsdaten erbeuteten und den Unternehmens-Tresor von LastPass kompromittierten. Im selben Monat informierte Plex seine Nutzer über einen eigenen Sicherheitsvorfall: Angreifer hatten auf eine Datenbank mit E-Mail-Adressen, Benutzernamen und verschlüsselten Zugangsdaten zugegriffen; das Unternehmen forderte zum Zurücksetzen der Passwörter auf.