In questo articolo Indice dei contenuti 2 sezioni
Chi gestisce un server multimediale casalingo farebbe bene a mettere mano agli aggiornamenti in fretta, perché Plex ha chiesto ai propri utenti di installare subito le nuove versioni dopo aver corretto diverse vulnerabilità di sicurezza. L’invito riguarda sia i server sia il client desktop, e arriva accompagnato da una comunicazione diretta via email verso chi risulta ancora fermo su release datate.
Sui dettagli tecnici, per ora, silenzio quasi totale. Gli sviluppatori non hanno pubblicato gli identificativi CVE né una descrizione delle falle, spiegando che le richieste sono già state inoltrate e che il quadro completo arriverà più avanti. Una scelta prudente, e nemmeno troppo insolita in questi casi. Analizzare una patch, riga per riga, è uno dei metodi più diretti per capire cosa è stato sistemato e costruire un exploit funzionante. Se metà degli amministratori non ha ancora aggiornato, pubblicare tutto subito equivale a consegnare una mappa a chi cerca bersagli facili.
Le versioni di Plex da installare senza aspettare
Il punto centrale dell’avviso è Plex Media Server 1.43.3, indicata come la release da installare per chiunque si trovi sulla 1.43.2 o su una qualsiasi versione precedente. La 1.43.3 è stata pubblicata il 19 maggio, mentre Plex Desktop 1.115.0 è arrivato il 13 agosto. L’avviso ufficiale, invece, porta la data del primo settembre e raccomanda a tutti i proprietari di server e agli utenti desktop di passare alle versioni più recenti disponibili.
Discorso a parte per chi ha installato il server su un NAS. Qui la situazione si complica, perché il pacchetto aggiornato potrebbe non comparire ancora nel gestore software del dispositivo. In quel caso resta la strada dell’installazione manuale, scaricando il pacchetto corretto per il proprio modello. Prima di muoversi, comunque, conviene controllare quale versione risulta effettivamente in esecuzione e verificare la disponibilità dell’aggiornamento attraverso i canali ufficiali.
La raccomandazione pesa in modo particolare per i server raggiungibili da Internet. Un server esposto e non aggiornato continua a far girare esattamente il software che Plex ha indicato come vulnerabile, con tutto quello che ne consegue.
Perché i precedenti rendono la patch più urgente del solito
L’allarme va letto tenendo conto di quello che è successo negli anni scorsi, e la lista non è cortissima. Nell’agosto 2025 la stessa azienda aveva segnalato una vulnerabilità ad alta gravità catalogata come CVE-2025-34158, legata alla possibilità di sottrarre le credenziali del proprietario del server. Un problema tutt’altro che teorico, considerando che quelle credenziali aprono la porta all’intera libreria e alle impostazioni dell’account.
Andando ancora più indietro, nel marzo 2023 la CISA aveva inserito CVE-2020-5741 nel catalogo delle vulnerabilità sfruttate attivamente. In quel caso il difetto consentiva l’esecuzione di codice sul server tramite richieste costruite ad arte, uno scenario che trasforma un semplice contenitore di film e serie tv in un punto d’ingresso dentro la rete domestica.
C’è poi l’episodio del 2022, quando Plex comunicò una violazione che aveva esposto indirizzi email, nomi utente e credenziali cifrate. Nessuno di questi precedenti dimostra che le nuove falle siano già sotto attacco o che abbiano un legame con gli incidenti passati, va detto chiaramente. Servono però a inquadrare il rischio reale: un server compromesso non significa soltanto qualche film che smette di partire in streaming, ma un accesso potenziale a dati personali e a un sistema che spesso resta acceso ventiquattro ore su ventiquattro.
Per chi amministra questi sistemi, quindi, la mossa concreta è una sola e non richiede competenze particolari. Controllare la versione installata, portare Plex Media Server almeno alla 1.43.3 e aggiornare il client desktop alla 1.115.0, verificando poi che il servizio riparta correttamente dopo l’installazione.
