Kerngegevens
- Leverancier
- Plex
- Product
- Plex Media Server
- Soort software
- –
- Getroffen versies
- Plex Media Server tot 1.43.3.10861
- Oplossing
- Update beschikbaar
- Opgeloste versie
- Plex Media Server 1.43.3.10861
- CVE gepubliceerd
- 23 september 2026
- Op de KEV-lijst sinds
- 20 oktober 2026
- Gepubliceerd op LekkenRadar
- 20 oktober 2026
- Laatst gewijzigd bij NVD
- 20 oktober 2026
Simpel uitgelegd
Wat is er aan de hand?
In Plex Media Server kan een beheerder bestanden naar willekeurige plekken schrijven die daarna als code worden uitgevoerd. De instelling TranscoderH264Options wordt bij elke transcodering ongecontroleerd aan de opties van de x264-encoder toegevoegd. Bij het opstarten laadt de server bovendien alle .so-bestanden zonder te controleren of ze legitiem zijn. Het lek staat sinds oktober 2026 op de lijst van actief misbruikte lekken en wordt nu misbruikt.
Wie loopt risico?
Je loopt risico als je een Plex Media Server draait met een versie ouder dan 1.43.3.10861. Een aanvaller heeft beheerdersrechten nodig, maar kan het lek via het netwerk misbruiken. Het risico is groter als je beheerdersaccount zwak beveiligd is of als de server vanaf internet bereikbaar is. Als dat lukt, kan de aanvaller eigen code uitvoeren op de server.
Wat moet je doen?
Controleer je versie
Kijk na welke versie van Plex Media Server je gebruikt. Alles ouder dan 1.43.3.10861 is getroffen.
Werk Plex Media Server bij
Installeer versie 1.43.3.10861 of nieuwer. Volg daarbij de instructies van Plex.
Beperk de toegang tot je server
Kun je nu nog niet updaten, zorg dan dat de server en het beheer niet zomaar vanaf internet bereikbaar zijn. Beperk ook wie een beheerdersaccount heeft.
Controleer je beheerdersaccounts
Bekijk of er beheerdersaccounts zijn die je niet herkent en wijzig de wachtwoorden van de accounts die je wel gebruikt.
Let op tekenen van misbruik
Omdat het lek actief wordt misbruikt, kun je ook nagaan of er onbekende .so-bestanden of ongebruikelijke wijzigingen in de transcoderinstellingen staan.
Dezelfde update lost meer lekken op
Plex Media Server 1.43.3.10861 verhelpt ook drie andere actief misbruikte lekken: een URL-fout in searchOne (CVE-2026-96654, https://lekkenradar.nl/cve/cve-2026-96654/), SSRF via /player/timeline (CVE-2026-96652, https://lekkenradar.nl/cve/cve-2026-96652/) en SSRF via het transcode-pad (CVE-2026-96655, https://lekkenradar.nl/cve/cve-2026-96655/).
Deel dit lek
Technische detailsBeschrijving, CVSS-vector, EPSS en adviezen
Beschrijving
De voorkeur TranscoderH264Options wordt bij elke transcodering woordelijk achter de optiestring van x264 geplaatst, zonder validatie of filtering. Een beheerder kan hierdoor invloed uitoefenen op het pad of de bestandsnaam waarnaar wordt geschreven en zo willekeurige bestanden op het systeem plaatsen. Bij het opstarten laadt Plex Media Server alle .so-bestanden zonder controle op een handtekening, het uitvoerbit of de aanwezige symbolen. Een weggeschreven bibliotheek wordt daardoor uitgevoerd zodra die wordt geladen. Het lek is geclassificeerd als CWE-73 (externe beheersing van bestandsnaam of pad). De CVSS 4.0-score is 8,6 met aanvalsroute via het netwerk, lage complexiteit, hoge rechten en geen gebruikersinteractie.
CVSS-vector (versie 4.0, basisscore 8,6, bron: CNA)
CVSS:4.0/AV:N/AC:L/AT:N/PR:H/UI:N/VC:H/VI:H/VA:H/SC:N/SI:N/SA:N/E:X/CR:X/IR:X/AR:X/MAV:X/MAC:X/MAT:X/MPR:X/MUI:X/MVC:X/MVI:X/MVA:X/MSC:X/MSI:X/MSA:X/S:X/AU:X/R:X/V:X/RE:X/U:X- Zwakheid (CWE)
- CWE-73 · Externe beheersing van bestandsnaam of pad
- Aanvalsroute
- Via het netwerk of internet
- EPSS, kans op misbruik binnen 30 dagen
- 0,4%
- Aanvalscode openbaar
- Ja
- Op de KEV-lijst van CISA
- Sinds 20 oktober 2026
- Deadline van CISA
- 23 oktober 2026
- Gebruikt door ransomwaregroepen
- Niet bekend