[{"data":1,"prerenderedAt":242},["ShallowReactive",2],{"seo-verification":3,"blog-plex2shell-cve-2026-96652-plex-vps-corriger-fr":6},{"google":4,"bing":5},"EycwPY2XMyTkVzas3n1ygeNJFGAH513qrMjfDljzsMQ","",{"key":7,"data":8},"blog-plex2shell-cve-2026-96652-plex-vps-corriger-fr",{"id":9,"slug":10,"slugs":11,"title":15,"excerpt":16,"readTime":17,"views":18,"isPinned":19,"publishedAt":20,"updatedAt":21,"category":22,"categories":28,"featuredImage":30,"bgImage":31,"posterImage":32,"relatedSolution":30,"intro":33,"sections":34,"ctaTitle":177,"ctaBody":178,"ctaButton":179,"ctaUrl":180,"relatedPosts":181},536,"plex2shell-cve-2026-96652-plex-vps-corriger",{"fr":10,"en":12,"ar":13,"es":14},"plex2shell-cve-2026-96652-fix-plex-on-a-vps","ثغرة-plex2shell-cve-2026-96652-تصحيح-plex-على-vps","plex2shell-cve-2026-96652-corregir-plex-en-un-vps","Plex2Shell (CVE-2026-96652) : corriger Plex sur un VPS","Plex2Shell enchaîne CVE-2026-96652 à -96656 sur Plex Media Server. Lire sa version, fermer le port 32400, chercher une intrusion : commandes testées.",10,0,false,"2026-10-30T00:00:00+00:00","2026-10-31T01:54:05+00:00",{"id":23,"name":24,"slug":25,"color":26,"icon":27},8,"Sécurité & Monitoring","securite-monitoring","bg-rose-500\u002F10 text-rose-400","security",[29],{"id":23,"name":24,"slug":25,"color":26,"icon":27},null,"\u002Fblog\u002Fcovers\u002Fbg.svg","\u002Fblog\u002Fcovers\u002Fplex2shell-cve-2026-96652-plex-vps-corriger-poster.svg","Plex2Shell est le nom donné à une chaîne de quatre failles du serveur Plex Media Server, dont la première, CVE-2026-96652, ne demande aucune authentification. Selon BleepingComputer, les détails techniques ont été publiés en octobre 2026 et l'exploitation a suivi presque aussitôt, avec le déploiement d'un cryptomineur. Un VPS qui expose le port 32400 à Internet est la cible type. Ce guide donne les commandes pour lire votre version, fermer l'exposition directe, puis chercher les traces d'une intrusion antérieure au correctif.",[35,39,71,74,97,100,125,128,146,149,160,163,171,174],{"type":36,"title":37,"body":38},"h2","Ce que contient la chaîne Plex2Shell","D'après BleepingComputer, qui relaie l'alerte de la CISA, la chaîne enchaîne quatre failles de Plex Media Server. La première, CVE-2026-96652, est une requête forgée côté serveur (SSRF) sur le point d'accès `\u002Fplayer\u002Ftimeline`, joignable sans authentification : un inconnu peut faire émettre des requêtes par votre serveur. Les trois autres, CVE-2026-96654, CVE-2026-96655 et CVE-2026-96656, prolongent l'attaque jusqu'à une écriture de fichiers arbitraires dans les paramètres du transcodeur, qui peut mener à l'exécution de code. Le score critique de 9,8 est celui que donne le chercheur à l'ensemble de la chaîne, pas un score officiel attribué à chaque faille. Les détails sont publics depuis octobre 2026, l'exploitation est signalée dès le 17 octobre 2026, et la CISA a fixé au 23 octobre 2026 l'échéance de correction pour les agences fédérales américaines.",{"type":40,"title":41,"headers":42,"rows":46},"comparison","Les quatre failles et le correctif en un coup d'œil",[43,44,45],"Référence","Nature","Rôle dans la chaîne",[47,51,55,59,63,67],[48,49,50],"CVE-2026-96652","SSRF sur `\u002Fplayer\u002Ftimeline`, sans authentification","Point d'entrée : aucun compte n'est requis",[52,53,54],"CVE-2026-96654","Injection d'URL dans `searchOne`","Permet d'appeler les fonctions d'autres plugins",[56,57,58],"CVE-2026-96655","SSRF authentifiée dans le point d'accès du transcodeur","Étend la portée des requêtes internes",[60,61,62],"CVE-2026-96656","Écriture de fichiers arbitraires via les paramètres du transcodeur","Dernier maillon : exécution de code possible",[64,65,66],"Version corrigée","Plex Media Server 1.43.3.10861 ou ultérieure","Toute version antérieure est vulnérable",[68,69,70],"Score de 9,8","Attribué à la chaîne entière par le chercheur","Pas un score officiel pour chaque faille",{"type":36,"title":72,"body":73},"« Mon Plex est à jour » : pourquoi cela ne suffit pas","Mettre à jour ferme les failles, pas la porte, et ne retire rien de ce qu'un intrus a déjà déposé. Trois cas se présentent. Le serveur a été corrigé après la publication des détails : s'il était exposé et vulnérable entre-temps, il a pu être compromis avant votre mise à jour. Le serveur n'a jamais été corrigé, parce que Plex sous Linux ne se met pas à jour tout seul et qu'un conteneur garde l'image avec laquelle il a démarré. Ou le serveur est à jour, mais le port 32400 reste ouvert à tous alors que seuls vos proches l'utilisent. Les trois étapes sont donc : vérifier la version, réduire l'exposition, chercher les traces.",{"type":40,"title":75,"headers":76,"rows":80},"Lire la version installée et mettre à jour, par environnement",[77,78,79],"Environnement","Lire la version installée","Mettre à jour",[81,85,89,93],[82,83,84],"Debian \u002F Ubuntu","`dpkg -s plexmediaserver | grep Version`","`sudo apt update && sudo apt install --only-upgrade plexmediaserver`",[86,87,88],"RHEL \u002F AlmaLinux","`rpm -q plexmediaserver`","`sudo dnf upgrade plexmediaserver` si le dépôt Plex est configuré, sinon paquet .rpm de la page officielle de téléchargement",[90,91,92],"Docker","Attribut `version` de `curl -s http:\u002F\u002F127.0.0.1:32400\u002Fidentity` si le port est publié","`docker pull plexinc\u002Fpms-docker` + `docker compose up -d --force-recreate`",[94,95,96],"Tous les cas","`curl -s http:\u002F\u002F127.0.0.1:32400\u002Fidentity` renvoie un court XML avec l'attribut `version`","Redémarrer ensuite : `sudo systemctl restart plexmediaserver`",{"type":36,"title":98,"body":99},"Le port 32400 : ce qui doit rester fermé","Plex écoute par défaut sur le port 32400. Sur un VPS, le pare-feu est le vôtre : sans règle, le port est joignable depuis Internet, et un conteneur Docker écrit ses propres règles qui contournent `ufw`. La commande `ss -tlnp | grep 32400` montre si Plex écoute sur toutes les interfaces (`0.0.0.0` ou `*`) ou seulement sur `127.0.0.1`. Elle ne prouve pas que le port est joignable de l'extérieur, car le pare-feu peut le filtrer : le vrai test se joue depuis une autre machine. Pour une IPv4 dédiée, comme sur un VPS, c'est la première vérification à faire.",{"type":101,"title":102,"steps":103},"steps","Fermer l'exposition directe en sept étapes",[104,107,110,113,116,119,122],{"title":105,"body":106},"Mettre à jour d'abord","Appliquez la commande de votre environnement du tableau ci-dessus, puis `sudo systemctl restart plexmediaserver`. Contrôlez ensuite la version avec `curl -s http:\u002F\u002F127.0.0.1:32400\u002Fidentity` : l'attribut `version` doit afficher 1.43.3.10861 ou une version plus récente.",{"title":108,"body":109},"Mesurer l'exposition","`ss -tlnp | grep 32400`\nDepuis une autre machine : `nc -vz 203.0.113.10 32400` (remplacez l'adresse d'exemple par l'IPv4 de votre VPS). Une connexion réussie signifie que Plex est exposé.",{"title":111,"body":112},"Couper l'accès à distance direct dans Plex","Dans les réglages du serveur, désactivez l'accès à distance direct. Plex cesse ainsi de chercher à rendre le port joignable depuis Internet.",{"title":114,"body":115},"Fermer le port au pare-feu","`sudo ufw allow OpenSSH`\n`sudo ufw deny 32400\u002Ftcp`\n`sudo ufw enable`\n`sudo ufw status numbered`\nAutorisez SSH avant d'activer `ufw`, sinon vous vous enfermez dehors.",{"title":117,"body":118},"Sous Docker, publier sur la boucle locale","Dans le fichier Compose, remplacez le port publié par `127.0.0.1:32400:32400`, puis `docker compose up -d --force-recreate`. Une règle `ufw` ne suffit pas ici : Docker passe devant.",{"title":120,"body":121},"Revérifier de l'extérieur","`nc -vz 203.0.113.10 32400`\nLa connexion doit maintenant échouer ou expirer. Si elle réussit encore, le pare-feu n'est pas celui qui filtre, ou Docker publie toujours le port.",{"title":123,"body":124},"Rebrancher l'accès légitime","Les deux sections suivantes décrivent un reverse proxy authentifié pour le navigateur et un VPN pour les applications. Choisissez avant de rouvrir quoi que ce soit.",{"type":36,"title":126,"body":127},"Reverse proxy ou VPN : lequel choisir","Les deux ferment le port 32400 au monde entier, mais ils ne servent pas les mêmes clients. Un reverse proxy avec authentification protège l'interface web de Plex dans un navigateur, avec TLS devant. Les applications Plex des téléviseurs et des mobiles, elles, ne savent pas répondre à une authentification HTTP Basic : placées derrière ce proxy, elles échouent. Pour elles, le VPN est la voie propre : après `sudo apt install wireguard` et la configuration des pairs, la règle `sudo ufw allow in on wg0 to any port 32400 proto tcp` n'ouvre Plex qu'à l'interface du tunnel. Retenez que le VPN couvre tous les clients, et le proxy seulement le navigateur.",{"type":101,"title":129,"steps":130},"Un exemple testable : nginx avec authentification",[131,134,137,140,143],{"title":132,"body":133},"Installer nginx et l'outil de mots de passe","Debian \u002F Ubuntu : `sudo apt install nginx apache2-utils`\nRHEL \u002F AlmaLinux : `sudo dnf install nginx httpd-tools`",{"title":135,"body":136},"Créer un utilisateur","`sudo htpasswd -c \u002Fetc\u002Fnginx\u002F.plex-htpasswd alice`\nLa commande demande le mot de passe et écrit le fichier lu par nginx. Sans l'option `-c`, elle ajoute un utilisateur au fichier existant.",{"title":138,"body":139},"Écrire le serveur virtuel","Dans `\u002Fetc\u002Fnginx\u002Fconf.d\u002Fplex.conf`, un bloc `server` avec `listen 443 ssl;`, `server_name plex.votre-domaine.com;`, `auth_basic \"Plex\";` et `auth_basic_user_file \u002Fetc\u002Fnginx\u002F.plex-htpasswd;`. Dans `location \u002F`, ajoutez `proxy_pass http:\u002F\u002F127.0.0.1:32400;`, `proxy_set_header Host $host;`, `proxy_http_version 1.1;`, `proxy_set_header Upgrade $http_upgrade;` et `proxy_set_header Connection \"upgrade\";` pour les WebSockets.",{"title":141,"body":142},"Obtenir le certificat et recharger","`sudo certbot --nginx -d plex.votre-domaine.com`\n`sudo nginx -t && sudo systemctl reload nginx`\nLe DNS du sous-domaine doit déjà pointer vers le VPS avant le certificat.",{"title":144,"body":145},"Tester les trois cas","`curl -sI https:\u002F\u002Fplex.votre-domaine.com\u002F` doit répondre 401.\n`curl -s -o \u002Fdev\u002Fnull -w '%{http_code}' https:\u002F\u002Fplex.votre-domaine.com\u002Fplayer\u002Ftimeline` doit aussi répondre 401 sans identifiants.\n`curl -sI -u alice https:\u002F\u002Fplex.votre-domaine.com\u002F` demande le mot de passe, puis répond 200 ou une redirection.",{"type":36,"title":147,"body":148},"Chercher une compromission antérieure au correctif","BleepingComputer ne donne aucun indicateur précis, ni empreinte, ni adresse, ni domaine : nous ne pouvons donc pas vous fournir une liste de signatures à chercher. Il reste les comportements, et ils sont parlants. Un serveur multimédia ne lance pas de shell, ne télécharge rien en tâche de fond, ne consomme pas un cœur entier en continu et ne contacte pas des adresses inconnues. Examinez la période qui court depuis la version vulnérable, et au minimum depuis la publication des détails en octobre 2026. Une absence de trace ne prouve pas l'absence d'intrusion, parce qu'un mineur peut être renommé ; une trace, elle, vaut aveu.",{"type":150,"title":151,"items":152},"ul","Sept contrôles, avec la commande qui va avec",[153,154,155,156,157,158,159],"**Processus enfants inattendus** — `ps -eo pid,ppid,user,lstart,args --forest | grep -B1 -A4 -i \"plex media server\"`. Les enfants normaux portent le nom de Plex (transcodeur, hôte de scripts) ; un `sh`, un `bash`, un `curl` ou un binaire lancé depuis `\u002Ftmp` est suspect.","**Consommation processeur** — `ps aux --sort=-%cpu | head -5`. Un processus étranger à Plex qui occupe le processeur en continu évoque un cryptomineur ; `pgrep -a -i xmrig` cherche le plus connu, sans exclure un nom d'emprunt.","**Fichiers inconnus dans le dossier Codecs** — `sudo ls -lat \"\u002Fvar\u002Flib\u002Fplexmediaserver\u002FLibrary\u002FApplication Support\u002FPlex Media Server\u002FCodecs\"`. Plex y range ses codecs de transcodage : un nom que vous ne reconnaissez pas, ou une date sans rapport avec un transcodage, mérite examen. Sous Docker, le même chemin se trouve dans le volume monté sur `\u002Fconfig`.","**Exécutables récents hors paquets** — `sudo find \u002Ftmp \u002Fvar\u002Ftmp \u002Fdev\u002Fshm \u002Fvar\u002Flib\u002Fplexmediaserver -xdev -type f -perm \u002F111 -mtime -60 2>\u002Fdev\u002Fnull`. Tout exécutable de ces dossiers que vous n'avez pas installé est à expliquer.","**Connexions sortantes** — `sudo ss -tupn state established | grep -i plex` puis `sudo ss -tupn state established`. Cherchez les connexions vers des adresses que vous ne reconnaissez pas, surtout si elles viennent d'un processus qui n'est pas Plex.","**Journaux du service** — `sudo journalctl -u plexmediaserver --since \"2026-10-01\" | grep -iE \"timeline|transcode|error\"`. Cherchez des appels répétés à `\u002Fplayer\u002Ftimeline` ou des erreurs de transcodage sans lecture en cours.","**Persistance** — `sudo crontab -l -u plex`, `sudo systemctl list-timers --all` et `sudo find \u002Fetc\u002Fsystemd\u002Fsystem \u002Fetc\u002Fcron.d -mtime -60`. Une tâche planifiée ou un service récent que vous n'avez pas créé est le signe qu'on veut revenir.",{"type":36,"title":161,"body":162},"Si une trace apparaît : reconstruire plutôt que nettoyer","Un cryptomineur trouvé prouve une intrusion, mais pas qu'elle se limitait au mineur. Isolez d'abord le serveur : `sudo ufw default deny incoming`, avec SSH autorisé depuis votre seule adresse. Exportez les journaux avant qu'ils ne tournent, par exemple avec `sudo journalctl -u plexmediaserver > plex-journal.txt`. Reconstruisez ensuite le VPS depuis une image saine, installez la version corrigée avant d'ouvrir quoi que ce soit, et ne restaurez que vos médias et la base de la bibliothèque après relecture. Changez enfin tout ce que le compte du service pouvait lire : clés SSH, mot de passe Plex, jetons et secrets d'environnement. Un serveur durci côté Plex reste exposé si le noyau ne suit pas : voyez notre article sur la faille noyau Fragnesia.",{"type":150,"title":164,"items":165},"Dépannage : cinq situations rencontrées",[166,167,168,169,170],"**« plexmediaserver is already the newest version » alors que la version est ancienne** — le dépôt Plex n'est pas configuré sur la machine. Téléchargez le paquet depuis la page officielle de téléchargement de Plex, puis `sudo apt install .\u002Fplexmediaserver_*.deb`.","**Le conteneur affiche toujours l'ancienne version après `docker pull`** — `docker pull` télécharge l'image mais ne remplace pas le conteneur en cours. Relancez `docker compose up -d --force-recreate`.","**Le port 32400 reste joignable malgré `ufw deny`** — Docker écrit ses propres règles et passe devant `ufw`. Publiez le port sur `127.0.0.1:32400:32400` comme décrit plus haut.","**Les applications Plex ne trouvent plus le serveur après la fermeture du port** — elles cherchaient l'adresse publique. Passez par un VPN et ajoutez le serveur par l'adresse du tunnel.","**nginx répond 401 aux applications, mais pas au navigateur** — les applications ne gèrent pas l'authentification HTTP Basic. Réservez le proxy au navigateur et donnez le VPN aux applications.",{"type":36,"title":172,"body":173},"Sources, et ce qu'aucun avis éditeur ne dit","Nous n'avons pas trouvé d'avis de sécurité de Plex qui liste ces CVE. Le seul élément éditeur retrouvé est l'annonce de la version 1.43.3.10861 sur le forum Plex, publiée le 4 août 2026 : elle ne mentionne ni faille ni CVE. Le numéro de version corrigée, le rattachement des quatre CVE et le score viennent de BleepingComputer, qui cite la CISA et le chercheur : à recouper avec l'éditeur dès qu'il publie. Nous n'indiquons pas de date d'ajout au catalogue KEV, faute de l'avoir confirmée sur le catalogue de la CISA. Et si vous préférez quitter Plex plutôt que le durcir, notre guide de migration vers Jellyfin traite ce sujet à part.",{"type":36,"title":175,"body":176},"La documentation officielle","Article de BleepingComputer sur Plex2Shell : https:\u002F\u002Fwww.bleepingcomputer.com\u002Fnews\u002Fsecurity\u002Fcisa-hackers-chain-plex-flaws-in-plex2shell-attacks-to-breach-servers\n\nAnnonce de la version 1.43.3.10861 sur le forum Plex : https:\u002F\u002Fforums.plex.tv\u002Ft\u002Fplex-media-server\u002F30447\u002F713\n\nCatalogue des vulnérabilités exploitées de la CISA : https:\u002F\u002Fwww.cisa.gov\u002Fknown-exploited-vulnerabilities-catalog\n\nTéléchargement de Plex Media Server : https:\u002F\u002Fwww.plex.tv\u002Fmedia-server-downloads\u002F\n\nModule auth_basic de nginx : https:\u002F\u002Fnginx.org\u002Fen\u002Fdocs\u002Fhttp\u002Fngx_http_auth_basic_module.html\n\nDocker et pare-feu : https:\u002F\u002Fdocs.docker.com\u002Fengine\u002Fnetwork\u002Fpacket-filtering-firewalls\u002F\n\nWireGuard, démarrage rapide : https:\u002F\u002Fwww.wireguard.com\u002Fquickstart\u002F","Un VPS où vous décidez de ce qui est exposé","Avec un VPS ServOrbit.com, vous avez le root, une IPv4 dédiée et un pare-feu à vous : vous choisissez ce qui sort sur Internet et pouvez isoler le serveur multimédia. L'administration du VPS existe en option, pour qui ne veut pas durcir seul ; elle n'est pas incluse. Guide fourni, pas de prise en charge.","Voir les VPS Cloud","\u002Fvps-cloud",[182,202,222],{"id":183,"slug":184,"slugs":185,"title":189,"excerpt":190,"readTime":23,"views":18,"isPinned":19,"publishedAt":191,"updatedAt":192,"category":193,"categories":199,"featuredImage":30,"bgImage":31,"posterImage":201,"relatedSolution":30},394,"plex-securite-migration-jellyfin-navidrome-vps",{"fr":184,"en":186,"ar":187,"es":188},"plex-security-migration-jellyfin-navidrome-vps","امان-plex-هجرة-jellyfin-navidrome-vps","seguridad-plex-migrar-jellyfin-navidrome-vps","Migrer Plex vers Jellyfin et Navidrome sur VPS","36 000 serveurs Plex non patchés contre CVE-2026-96656 et CVE-2026-96651. Guide complet pour migrer bibliothèques vidéo et musicale vers Jellyfin et Navidrome sur VPS","2026-09-28T00:00:00+00:00","2026-10-21T15:21:31+00:00",{"id":194,"name":195,"slug":196,"color":197,"icon":198},7,"Self-hosting","self-hosting","bg-indigo-500\u002F10 text-indigo-400","cloud",[200],{"id":194,"name":195,"slug":196,"color":197,"icon":198},"\u002Fblog\u002Fcovers\u002Fplex-securite-migration-jellyfin-navidrome-vps-poster.svg",{"id":203,"slug":204,"slugs":205,"title":209,"excerpt":210,"readTime":211,"views":212,"isPinned":19,"publishedAt":213,"updatedAt":214,"category":215,"categories":216,"featuredImage":30,"bgImage":31,"posterImage":218,"relatedSolution":219},292,"migrer-plex-vers-jellyfin-2026",{"fr":204,"en":206,"ar":207,"es":208},"migrating-from-plex-to-jellyfin-after-the-july-2026-paywall","الهجرة-من-plex-إلى-jellyfin-بعد-paywall-يوليو-2026","migrar-de-plex-a-jellyfin-2026","Migrer de Plex vers Jellyfin après le paywall de juillet 2026","Plex a mis le streaming distant derrière un abonnement payant en juillet 2026. Migrez vers Jellyfin sur votre VPS : bibliothèque conservée, clients identiques.",9,4,"2026-08-22T00:00:00+00:00","2026-09-07T11:26:10+00:00",{"id":194,"name":195,"slug":196,"color":197,"icon":198},[217],{"id":194,"name":195,"slug":196,"color":197,"icon":198},"\u002Fblog\u002Fcovers\u002Fmigrer-plex-vers-jellyfin-2026-poster.svg",{"categorySlug":220,"appSlug":221},"collaboration","jellyfin",{"id":223,"slug":224,"slugs":225,"title":229,"excerpt":230,"readTime":23,"views":231,"isPinned":19,"publishedAt":232,"updatedAt":233,"category":234,"categories":239,"featuredImage":30,"bgImage":31,"posterImage":241,"relatedSolution":30},98,"jellyfin-vs-plex",{"fr":224,"en":226,"ar":227,"es":228},"jellyfin-vs-plex-which-self-hosted-media-server","jellyfin-مقابل-plex-أي-خادم-وسائط-مستضاف-ذاتيا","jellyfin-vs-plex-que-servidor-multimedia-autoalojado","Jellyfin vs Plex : quel serveur multimédia auto-hébergé ?","Jellyfin vs Plex : comparatif pour choisir votre media-server auto-hébergé sur VPS — déploiement Docker, dépannage et migration vers Jellyfin 12.",1,"2026-03-14T00:00:00+00:00","2026-09-10T13:10:43+00:00",{"id":235,"name":236,"slug":237,"color":238,"icon":237},5,"Comparatif","comparatif","bg-info\u002F10 text-info",[240],{"id":235,"name":236,"slug":237,"color":238,"icon":237},"\u002Fblog\u002Fcovers\u002Fjellyfin-vs-plex-poster.svg",1793414180796]