Plex-Server vor Version 1.43.3.10861 werden laut Plex aktiv ausgenutzt

Betroffen sind Plex-Media-Server vor Version 1.43.3.10861. Wer so einen Server aus dem Internet erreichbar hat, soll laut Plex von einer möglichen Kompromittierung ausgehen. Vier verkettete Lücken erlauben Angreifenden ohne Anmeldung Codeausführung mit den Rechten des Serverprozesses. Plex nennt die Ausnutzung aktiv und breit, und die US-Behörde CISA setzte Bundesbehörden eine Frist bis zum 23. Oktober.

Ein Update schließt die Lücken, räumt aber nichts auf, was vorher passiert sein könnte.

Welche Versionen betroffen sind und was die vier Lücken zusammen bewirken

Betroffen sind alle Versionen des Plex Media Server (PMS) vor 1.43.3.10861. Plex schreibt im Forum, dass Version 1.43.3.10861 und neuer nicht betroffen ist. BleepingComputer berichtet dieselbe Versionsgrenze. Welche Version Ihr Server hat, sehen Sie in den Einstellungen unter „Allgemein“.

Plex führt im Forum (Update vom 19. Oktober) vier Schwachstellen auf, jeweils mit einer CVE-Nummer. CVE steht für „Common Vulnerabilities and Exposures“, ein einheitliches Kennungssystem, mit dem Sicherheitslücken eindeutig benannt werden. Die Nummern sagen nichts über die Schwere aus; dafür gibt es den CVSS, eine Bewertungsskala bis 10,0.

• CVE-2026-96652: eine unauthentifizierte SSRF im Timeline-Endpunkt des Players. SSRF heißt „Server-Side Request Forgery“: Der Server wird dazu gebracht, Anfragen zu stellen, die er für Außenstehende nicht stellen sollte. „Unauthentifiziert“ bedeutet, dass dafür keine Anmeldung nötig ist.
• CVE-2026-96654: Zugriff auf interne Agent-Funktionen über das Loopback-Interface. Das ist die Netzwerkschnittstelle, über die ein Rechner nur mit sich selbst spricht. Funktionen dort sind üblicherweise nicht für Zugriffe von außen gedacht.
• CVE-2026-96655: Preisgabe des Admin-Tokens der Serverbesitzenden. Ein Token ist ein Berechtigungsschlüssel; wer ihn hat, handelt mit den Rechten des Kontos, ohne das Passwort zu kennen.
• CVE-2026-96656: beliebiges Schreiben einer Datei ins Codecs-Verzeichnis über Transcoder-Einstellungen. Der Transcoder wandelt Medien in ein Format um, das ein Abspielgerät verarbeiten kann.

Plex beschreibt die Wirkung der Verkettung so: Ein Angreifender aus der Ferne führt ohne Anmeldung Code mit den Rechten des PMS-Prozesses aus. „Codeausführung mit Prozessrechten“ heißt, dass fremder Code genau das darf, was der Serverdienst selbst darf. Das ist nicht automatisch Administrationsrecht auf dem Rechner, aber alles, was das Dienstkonto erreicht, ist in Reichweite.

BleepingComputer beschreibt zwei dieser Lücken in Einzelheiten anders als Plex. Maßgeblich ist deshalb der Wortlaut von Plex. Für Ihre Entscheidung genügt die Kernaussage: Mehrere einzeln begrenzte Schwächen ergeben zusammen einen Weg zur Übernahme des Serverprozesses.

Bei der Einordnung hilft die Unterscheidung dreier Ebenen. Erstens die Schwachstelle: Sie ist durch Plex belegt und an die Version gebunden. Zweitens die Ausnutzung: Auch sie ist durch Plex und Berichte belegt. Drittens Ihr eigener Befund: Ob Ihr konkreter Server betroffen war, wissen weder Plex noch wir; das zeigt nur Ihre Prüfung. Ein Server vor der Fixversion, der nicht aus dem Internet erreichbar ist, entspricht nicht der Warnung von Plex, die an beide Bedingungen geknüpft ist: ältere Version und Erreichbarkeit aus dem Netz. Das Update brauchen Sie dennoch, denn auch längst gepatchte Lücken im KEV-Katalog der CISA werden weiter als aktiv ausgenutzt geführt.

Ausnutzung, CISA-Frist und Zeitleiste im Überblick

Die Zeitleiste ist teils widersprüchlich, daher nur die belegten Eckpunkte. Der Forscher Zach Main meldete die Lücken laut BleepingComputer am 27. Juli. Ein öffentlicher Proof of Concept, also ein Demonstrationscode für die Lücke, tauchte Mitte Oktober auf. Plex nennt dafür den 16. Oktober, BleepingComputer datiert die Details auf den 16. Oktober und den Code drei Tage später. Weil sich das nicht auflösen lässt, bleibt es bei „Mitte Oktober“.

Ausnutzungsberichte gibt es laut BleepingComputer seit dem 17. Oktober. Sie betrafen zuerst Honeypots, also absichtlich ausgesetzte Köder-Systeme, mit denen Sicherheitsfachleute Angriffe beobachten. Dort wurde ein Kryptominer installiert, ein Programm, das fremde Rechenleistung zum Schürfen von Kryptowährung nutzt. Plex schreibt im Forum, die Schwachstellen würden „actively and widely exploited“, also aktiv und breit ausgenutzt, und kompromittierte Server führten Kryptominer und Proxy-Software aus. Eine Zahl betroffener Server ist nicht bekannt und wird daher nicht genannt.

BleepingComputer berichtet außerdem zur Bewertung: Die Einzellücken liegen im mittleren bis hohen Bereich, die Kette erreicht laut dem Forscher einen CVSS von 9,8. Das ist die Einschätzung des Forschers, kein Wert aus einer unabhängigen Prüfung durch dm.

Die CISA, die US-Behörde für Cybersicherheit, wies laut BleepingComputer Bundesbehörden an, bis zum 23. Oktober zu patchen oder zu mitigieren. Die Frist lief am 23. Oktober ab. Wichtig ist ihr Geltungsbereich: Wie bei anderen aktiv ausgenutzten Sicherheitslücken gilt sie nur für US-Bundesbehörden. Für private Plex-Server hat sie keine rechtliche Wirkung.

dm-Rechnung: 27. Juli bis 17. Oktober sind 4 Tage im Juli, 31 im August, 30 im September und 17 im Oktober, zusammen 82 Tage. Angaben dazu, wie lange die Lücke vor der Meldung bestand, liegen nicht vor.

Wie Sie auf Kompromittierung prüfen

Dieses Bild wurde komplett mit KI generiertProviderhiggsfieldModellgpt_image_2PromptAdministrator at a laptop applying a software update in a dim room, a progress bar abstractly glowing on the screen, a small server tower beside the desk. Photorealistic editorial magazine photo, 16:9. Absolutely no text, no letters, no numbers, no logos, no brand marks.

Zuerst die Version: Liegt sie unter 1.43.3.10861, aktualisieren Sie, bevor Sie weitersuchen. Danach folgt die Frage, ob in der Zwischenzeit etwas passiert ist. Plex nennt dafür vier Prüfpunkte.

Die vier Prüfpunkte von Plex

• Unbekannte Prozesse, die der Plex-Server gestartet hat. dm-Einordnung, keine Aussage von Plex: Der Plex-Dienst startet selbst Hilfsprozesse, etwa für das Transcodieren; Ihnen unbekannte Einträge sollten Sie aber nachverfolgen.
• Unbekannte .so- oder .dll-Dateien im Codecs-Ordner. Das sind Programmbibliotheken, unter Linux mit der Endung .so, unter Windows .dll. dm-Einordnung, keine Aussage von Plex: Im Codecs-Verzeichnis sollten nur Dateien liegen, die Plex dort selbst ablegt.
• Ungewöhnliche ausgehende Verbindungen oder dauerhaft hohe CPU-Last im Leerlauf. Letzteres passt zu einem Kryptominer, den Plex als Folge erfolgreicher Angriffe beschreibt.
• In der Datei Preferences.xml Transcoder-Optionen, die Sie nicht selbst gesetzt haben.

Hilfreich ist ein nüchterner Vergleich mit dem Normalzustand. Wenn Ihr Server im Leerlauf sonst kaum Last erzeugt, ist anhaltend hohe Auslastung ein Hinweis. Wenn Sie Ihre Transcoder-Einstellungen nie angefasst haben, ist jeder Eintrag verdächtig, den Sie nicht erklären können. dm-Einordnung, keine Aussage von Plex: Zum Vergleich der ausgehenden Verbindungen hilft ein Blick in die Verbindungsübersicht von Router oder Firewall, sofern Sie dort protokollieren.

Was ein Fund bedeutet und was nicht

Ein unauffälliger Befund ist kein Beweis für einen sauberen Server. Fehlende Spuren heißen nicht, dass nichts geschah, denn Angreifende können Spuren verwischen, und ob die vier Prüfpunkte jeden Fall abdecken, sagt Plex nicht. dm-Einordnung: Wer seinen Server vor der Fixversion aus dem Internet erreichbar betrieben hat, sollte den Neuaufbau auch ohne Fund erwägen, weil die Prüfung den Gegenbeweis nicht liefern kann.

Umgekehrt gilt: Ein Fund beweist noch keine Verbindung zu den vier Lücken. Eine unbekannte Datei kann auch aus einer anderen Ursache stammen. Für das Vorgehen ändert das wenig, denn bei einem solchen Fund ist der Server ohnehin nicht mehr vertrauenswürdig.

dm-Einordnung: Eine Liste konkreter Prozessnamen, Dateinamen oder Adressen hilft Ihnen wenig, denn solche Listen veralten schnell und wiegen Sie in falscher Sicherheit. Entscheidend ist der Abgleich mit dem, was Sie auf Ihrem eigenen System kennen: Welche Prozesse laufen dort normalerweise, welche Dateien haben Sie selbst angelegt, mit welchen Gegenstellen kommuniziert der Server üblicherweise? Alles, was Sie nicht erklären können, verdient eine genauere Betrachtung. Notieren Sie bei der Prüfung, was Sie gesehen haben, bevor Sie etwas löschen; das hilft, wenn Sie später nachvollziehen wollen, was geschehen ist.

Neu aufsetzen, Zugangsdaten tauschen, Fernzugriff überdenken

Plex empfiehlt zunächst das Update auf mindestens 1.43.3.10861. Bei einem Fund oder bei Unsicherheit rät Plex darüber hinaus zur sauberen Neuinstallation, statt das alte Datenverzeichnis weiterzuverwenden. Als Mindestmaß nennt Plex, das Codecs-Verzeichnis zu leeren und die Preferences.xml auf Transcoder-Optionen zu prüfen, die Sie nicht selbst gesetzt haben.

Abmelden und Passwort ändern

Plex rät, sich auf allen Geräten abzumelden und das Plex-Passwort zu ändern. Das ist naheliegend, weil bei einer der Lücken laut Plex der Admin-Token der Serverbesitzenden preisgegeben wird. Ein solcher Token ersetzt das Passwort.

Was das Dienstkonto erreichen konnte

Plex empfiehlt außerdem, alles, was das Plex-Dienstkonto erreichen konnte, als möglicherweise offengelegt zu behandeln. Dazu zählen eingebundene Freigaben und Zugangsdaten, die auf demselben Rechner oder derselben virtuellen Maschine liegen. Weil Code mit den Rechten des Serverprozesses lief, reicht der Blick eben nicht nur bis zur Plex-Bibliothek.

dm-Einordnung: Daraus folgt praktisch, dass Sie diese Zugangsdaten tauschen sollten. Das ist keine ausdrückliche Empfehlung von Plex, sondern unsere Ableitung aus dessen Formulierung. Gehen Sie dazu durch, welche Passwörter, Schlüssel oder Tokens auf dem Rechner gespeichert waren oder über Freigaben erreichbar sind, und erneuern Sie sie von einem anderen, unverdächtigen Gerät aus. Prüfen Sie ebenfalls, ob die eingebundenen Freigaben unnötig weitreichende Schreibrechte für das Dienstkonto gewähren.

Fernzugriff

Plex rät, den Fernzugriff abzuschalten, wenn Sie ihn nicht benötigen; Sie finden ihn in den Einstellungen unter „Fernzugriff“.

Für die Neuinstallation spricht: Nach einer möglichen Übernahme lässt sich kaum sicher sagen, welche Einstellungen und Dateien dort unverändert sind. Ein frisch aufgesetztes Verzeichnis nimmt diese Unsicherheit weg, während ein Weiterbetrieb sie mitnimmt. dm-Einordnung: Prüfen Sie ehrlich, ob Sie den Fernzugriff wirklich nutzen, denn jede entbehrliche Erreichbarkeit vergrößert die Angriffsfläche.

Die Reihenfolge der nächsten Schritte: Version prüfen und aktualisieren, Fernzugriff abschalten, falls Sie ihn nicht brauchen, die vier Prüfpunkte durchgehen, bei Fund oder Unsicherheit neu aufsetzen und zuletzt die Zugangsdaten tauschen.