Plex resta esposto per una correzione mancata di massa
BleepingComputer segnala oltre 36.000 Plex Media Server esposti su Internet ancora non corretti contro falle recenti, e una di queste — CVE-2020-5741 — è già nella lista KEV della CISA. Il quadro non è quello di un exploit nuovo, ma di una correzione rimasta indietro su una base installata ancora raggiungibile dall’esterno.
Per un Plex esposto, il problema non è solo l’accesso alla libreria multimediale: una falla raggiungibile da remoto può diventare un punto d’ingresso sul server stesso. Quando una vulnerabilità resta aperta per anni, il rischio non è puntuale ma continuo, perché l’host resta un bersaglio disponibile finché non viene aggiornato.
Per chi gestisce istanze Plex esposte, la storia pesa soprattutto come segnale di esposizione prolungata. Il fatto che una CVE sia già in KEV indica che non si parla di un rischio teorico, ma di una superficie che resta utile agli attaccanti finché quel parco macchine non viene ripulito.
CVSS 7.2 HIGH: deserialization of Untrusted Data in Plex Media Server on Windows allows a remote, authenticated attacker to execute… EPSS 73% (99º percentile).
Data di correzione federale CISA 31 mar · data superata
CVSS 8.5 HIGH: plex Media Server (PMS) 1.41.7.x through 1.42.0.x before 1.42.1 is affected by incorrect resource transfer between… EPSS 0.6% (48º percentile).