Plex sotto attacco: aggiornare il server e recuperarlo sono due lavori diversi

Un vecchio server Plex che continua a riprodurre i film potrebbe già svolgere altre attività in sottofondo. Plex segnala attacchi contro installazioni esposte a Internet e CISA ha inserito quattro vulnerabilità nel proprio catalogo delle falle sfruttate. La prima cosa da controllare è il server, non soltanto l’app del televisore.

L’aggiornamento di sicurezza del 19 ottobre identifica la 1.43.3.10861 come prima build server non interessata. Le correzioni erano già disponibili; l’urgenza attuale deriva dagli attacchi confermati. Chi gestisce una vecchia installazione raggiungibile da Internet deve considerare anche la possibilità di un incidente, oltre all’aggiornamento rimandato.

Individuare il dispositivo che serve i contenuti

Plex divide il lavoro tra il software che conserva e distribuisce la libreria e i client che la riproducono. La conseguenza è semplice ma facile da trascurare: un’app TV aggiornata non dimostra che lo siano anche il NAS o il PC collegati. Bisogna aprire le impostazioni del server e verificarne la versione. Se lo amministra un’altra persona, è a lei che va inviato l’avviso: l’aggiornamento dal proprio app store potrebbe non riguardare quella macchina.

Il bollettino CISA elenca CVE-2026-96652, CVE-2026-96654, CVE-2026-96655 e CVE-2026-96656. L’inserimento conferma uno sfruttamento osservato, non che ogni installazione Plex sia compromessa. Neppure una scadenza federale statunitense costituisce un periodo di tolleranza per un server domestico italiano. Contano la versione in esecuzione e la possibilità che gli aggressori la raggiungessero.

L’aggiornamento riuscito è solo parte del recupero

Plex riferisce di miner e software proxy su macchine compromesse. L’avviso raccomanda una ricostruzione pulita quando la compromissione è accertata o non si può escludere, oltre alla disconnessione degli account e al cambio della password. Vanno seguite le istruzioni specifiche per l’incidente: una procedura ordinaria di migrazione ha un altro obiettivo.

La differenza emerge dalla guida Plex per spostare un server, che illustra come trasferire directory dei dati e impostazioni. È utile quando si sposta una libreria sana. Applicarla senza valutazioni durante un recupero potrebbe trasferire anche lo stato di cui si sta cercando di smettere di fidarsi. Conservare ciò che serve per analisi e recupero non equivale a copiare tutto nella nuova installazione.

Su un NAS bisogna inoltre distinguere il pacchetto proposto dall’app store da quello disponibile per il dispositivo preciso. Il consueto pulsante di aggiornamento può arrivare dopo il rilascio del produttore. Scaricare un pacchetto per l’architettura sbagliata non è però una scorciatoia: conviene seguire il percorso specifico indicato nell’avviso e controllarne l’esito.

Riprodurre un film non è un test di sicurezza

Il compito più visibile del server è distribuire contenuti. Un processo indesiderato non deve necessariamente interromperlo per essere utile a un aggressore. “Ieri il film funzionava” dice quindi poco sull’integrità del sistema oggi.

È un punto concreto della sicurezza dei server: ripristinare il servizio e tornare a fidarsi della macchina sono risultati distinti. Per il primo può bastare un aggiornamento. Il secondo inizia verificando che cosa fosse esposto e termina quando l’installazione conservata ha una ragione per essere considerata affidabile.