[{"data":1,"prerenderedAt":242},["ShallowReactive",2],{"seo-verification":3,"blog-plex2shell-cve-2026-96652-corregir-plex-en-un-vps-es":6},{"google":4,"bing":5},"EycwPY2XMyTkVzas3n1ygeNJFGAH513qrMjfDljzsMQ","",{"key":7,"data":8},"blog-plex2shell-cve-2026-96652-corregir-plex-en-un-vps-es",{"id":9,"slug":10,"slugs":11,"title":15,"excerpt":16,"readTime":17,"views":18,"isPinned":19,"publishedAt":20,"updatedAt":21,"category":22,"categories":28,"featuredImage":30,"bgImage":31,"posterImage":32,"relatedSolution":30,"intro":33,"sections":34,"ctaTitle":177,"ctaBody":178,"ctaButton":179,"ctaUrl":180,"relatedPosts":181},536,"plex2shell-cve-2026-96652-corregir-plex-en-un-vps",{"fr":12,"en":13,"ar":14,"es":10},"plex2shell-cve-2026-96652-plex-vps-corriger","plex2shell-cve-2026-96652-fix-plex-on-a-vps","ثغرة-plex2shell-cve-2026-96652-تصحيح-plex-على-vps","Plex2Shell (CVE-2026-96652): corregir Plex en un VPS","Plex2Shell encadena CVE-2026-96652 a -96656 en Plex Media Server. Leer su versión, cerrar el puerto 32400, buscar una intrusión: comandos probados.",10,0,false,"2026-10-30T00:00:00+00:00","2026-10-31T01:54:05+00:00",{"id":23,"name":24,"slug":25,"color":26,"icon":27},8,"Seguridad y monitorización","securite-monitoring","bg-rose-500\u002F10 text-rose-400","security",[29],{"id":23,"name":24,"slug":25,"color":26,"icon":27},null,"\u002Fblog\u002Fcovers\u002Fbg.svg","\u002Fblog\u002Fcovers\u002Fplex2shell-cve-2026-96652-plex-vps-corriger-poster.svg","Plex2Shell es el nombre que recibe una cadena de cuatro fallos de Plex Media Server, el primero de los cuales, CVE-2026-96652, no exige autenticación. Según BleepingComputer, los detalles técnicos se publicaron en octubre de 2026 y la explotación llegó casi de inmediato, con el despliegue de un criptominero. Un VPS que expone el puerto 32400 a Internet es el objetivo típico. Esta guía da los comandos para leer su versión, cerrar la exposición directa y buscar después rastros de una intrusión anterior al parche.",[35,39,71,74,97,100,125,128,146,149,160,163,171,174],{"type":36,"title":37,"body":38},"h2","Qué contiene la cadena Plex2Shell","Según BleepingComputer, que recoge la alerta de la CISA, la cadena encadena cuatro fallos de Plex Media Server. El primero, CVE-2026-96652, es una falsificación de petición del lado del servidor (SSRF) en el punto de acceso `\u002Fplayer\u002Ftimeline`, accesible sin autenticación: un desconocido puede hacer que su servidor emita peticiones. Los otros tres, CVE-2026-96654, CVE-2026-96655 y CVE-2026-96656, prolongan el ataque hasta una escritura de archivos arbitrarios en los parámetros del transcodificador, que puede llevar a la ejecución de código. La puntuación crítica de 9,8 es la que da el investigador a toda la cadena, no una puntuación oficial asignada a cada fallo. Los detalles son públicos desde octubre de 2026, la explotación se señala desde el 17 de octubre de 2026 y la CISA fijó el 23 de octubre de 2026 como plazo de corrección para las agencias federales estadounidenses.",{"type":40,"title":41,"headers":42,"rows":46},"comparison","Los cuatro fallos y la corrección de un vistazo",[43,44,45],"Referencia","Naturaleza","Papel en la cadena",[47,51,55,59,63,67],[48,49,50],"CVE-2026-96652","SSRF en `\u002Fplayer\u002Ftimeline`, sin autenticación","Punto de entrada: no hace falta ninguna cuenta",[52,53,54],"CVE-2026-96654","Inyección de URL en `searchOne`","Permite llamar a funciones de otros plugins",[56,57,58],"CVE-2026-96655","SSRF autenticada en el punto de acceso del transcodificador","Amplía el alcance de las peticiones internas",[60,61,62],"CVE-2026-96656","Escritura de archivos arbitrarios mediante los parámetros del transcodificador","Último eslabón: ejecución de código posible",[64,65,66],"Versión corregida","Plex Media Server 1.43.3.10861 o posterior","Toda versión anterior es vulnerable",[68,69,70],"Puntuación de 9,8","Asignada a toda la cadena por el investigador","No es una puntuación oficial para cada fallo",{"type":36,"title":72,"body":73},"«Mi Plex está al día»: por qué no basta","Actualizar cierra los fallos, no la puerta, y no retira nada de lo que un intruso ya haya dejado. Se dan tres casos. El servidor se corrigió después de publicarse los detalles: si estaba expuesto y vulnerable entretanto, pudo comprometerse antes de su actualización. El servidor nunca se corrigió, porque Plex en Linux no se actualiza solo y un contenedor conserva la imagen con la que arrancó. O el servidor está al día, pero el puerto 32400 sigue abierto a todos cuando solo lo usan sus allegados. Los pasos son, pues, tres: comprobar la versión, reducir la exposición, buscar rastros.",{"type":40,"title":75,"headers":76,"rows":80},"Leer la versión instalada y actualizar, por entorno",[77,78,79],"Entorno","Leer la versión instalada","Actualizar",[81,85,89,93],[82,83,84],"Debian \u002F Ubuntu","`dpkg -s plexmediaserver | grep Version`","`sudo apt update && sudo apt install --only-upgrade plexmediaserver`",[86,87,88],"RHEL \u002F AlmaLinux","`rpm -q plexmediaserver`","`sudo dnf upgrade plexmediaserver` si el repositorio de Plex está configurado; si no, el paquete .rpm de la página oficial de descargas",[90,91,92],"Docker","Atributo `version` de `curl -s http:\u002F\u002F127.0.0.1:32400\u002Fidentity` si el puerto está publicado","`docker pull plexinc\u002Fpms-docker` + `docker compose up -d --force-recreate`",[94,95,96],"Todos los casos","`curl -s http:\u002F\u002F127.0.0.1:32400\u002Fidentity` devuelve un XML breve con el atributo `version`","Reinicie después: `sudo systemctl restart plexmediaserver`",{"type":36,"title":98,"body":99},"El puerto 32400: lo que debe seguir cerrado","Plex escucha por defecto en el puerto 32400. En un VPS el cortafuegos es suyo: sin regla, el puerto es accesible desde Internet, y un contenedor Docker escribe sus propias reglas, que se saltan `ufw`. El comando `ss -tlnp | grep 32400` muestra si Plex escucha en todas las interfaces (`0.0.0.0` o `*`) o solo en `127.0.0.1`. No prueba que el puerto sea accesible desde fuera, pues el cortafuegos puede filtrarlo: la prueba real se hace desde otra máquina. Con una IPv4 dedicada, como en un VPS, es la primera comprobación que conviene hacer.",{"type":101,"title":102,"steps":103},"steps","Cerrar la exposición directa en siete pasos",[104,107,110,113,116,119,122],{"title":105,"body":106},"Actualizar primero","Aplique el comando de su entorno de la tabla anterior y luego `sudo systemctl restart plexmediaserver`. Compruebe después la versión con `curl -s http:\u002F\u002F127.0.0.1:32400\u002Fidentity`: el atributo `version` debe mostrar 1.43.3.10861 o una versión más reciente.",{"title":108,"body":109},"Medir la exposición","`ss -tlnp | grep 32400`\nDesde otra máquina: `nc -vz 203.0.113.10 32400` (sustituya la dirección de ejemplo por la IPv4 de su VPS). Una conexión satisfactoria significa que Plex está expuesto.",{"title":111,"body":112},"Cortar el acceso remoto directo en Plex","En los ajustes del servidor, desactive el acceso remoto directo. Plex deja así de intentar que el puerto sea accesible desde Internet.",{"title":114,"body":115},"Cerrar el puerto en el cortafuegos","`sudo ufw allow OpenSSH`\n`sudo ufw deny 32400\u002Ftcp`\n`sudo ufw enable`\n`sudo ufw status numbered`\nPermita SSH antes de activar `ufw`, o se quedará fuera.",{"title":117,"body":118},"Con Docker, publicar en el bucle local","En el archivo Compose, sustituya el puerto publicado por `127.0.0.1:32400:32400` y ejecute `docker compose up -d --force-recreate`. Una regla de `ufw` no basta aquí: Docker pasa por delante.",{"title":120,"body":121},"Volver a comprobar desde fuera","`nc -vz 203.0.113.10 32400`\nLa conexión debe fallar o agotar el tiempo de espera. Si todavía se establece, el cortafuegos no es el que filtra, o Docker sigue publicando el puerto.",{"title":123,"body":124},"Reconectar el acceso legítimo","Las dos secciones siguientes describen un proxy inverso autenticado para el navegador y una VPN para las aplicaciones. Elija antes de volver a abrir nada.",{"type":36,"title":126,"body":127},"Proxy inverso o VPN: cuál elegir","Ambos cierran el puerto 32400 al mundo entero, pero no sirven a los mismos clientes. Un proxy inverso con autenticación protege la interfaz web de Plex en un navegador, con TLS por delante. Las aplicaciones de Plex de televisores y móviles no saben responder a una autenticación HTTP Basic: detrás de ese proxy, fallan. Para ellas, la VPN es la vía limpia: tras `sudo apt install wireguard` y la configuración de los pares, la regla `sudo ufw allow in on wg0 to any port 32400 proto tcp` abre Plex solo a la interfaz del túnel. Recuerde que la VPN cubre a todos los clientes, y el proxy solo al navegador.",{"type":101,"title":129,"steps":130},"Un ejemplo comprobable: nginx con autenticación",[131,134,137,140,143],{"title":132,"body":133},"Instalar nginx y la herramienta de contraseñas","Debian \u002F Ubuntu: `sudo apt install nginx apache2-utils`\nRHEL \u002F AlmaLinux: `sudo dnf install nginx httpd-tools`",{"title":135,"body":136},"Crear un usuario","`sudo htpasswd -c \u002Fetc\u002Fnginx\u002F.plex-htpasswd alice`\nEl comando pide la contraseña y escribe el archivo que lee nginx. Sin la opción `-c`, añade un usuario al archivo existente.",{"title":138,"body":139},"Escribir el host virtual","En `\u002Fetc\u002Fnginx\u002Fconf.d\u002Fplex.conf`, un bloque `server` con `listen 443 ssl;`, `server_name plex.your-domain.com;`, `auth_basic \"Plex\";` y `auth_basic_user_file \u002Fetc\u002Fnginx\u002F.plex-htpasswd;`. En `location \u002F`, añada `proxy_pass http:\u002F\u002F127.0.0.1:32400;`, `proxy_set_header Host $host;`, `proxy_http_version 1.1;`, `proxy_set_header Upgrade $http_upgrade;` y `proxy_set_header Connection \"upgrade\";` para los WebSockets.",{"title":141,"body":142},"Obtener el certificado y recargar","`sudo certbot --nginx -d plex.your-domain.com`\n`sudo nginx -t && sudo systemctl reload nginx`\nEl DNS del subdominio debe apuntar ya al VPS antes del certificado.",{"title":144,"body":145},"Probar los tres casos","`curl -sI https:\u002F\u002Fplex.your-domain.com\u002F` debe responder 401.\n`curl -s -o \u002Fdev\u002Fnull -w '%{http_code}' https:\u002F\u002Fplex.your-domain.com\u002Fplayer\u002Ftimeline` debe responder también 401 sin credenciales.\n`curl -sI -u alice https:\u002F\u002Fplex.your-domain.com\u002F` pide la contraseña y luego responde 200 o una redirección.",{"type":36,"title":147,"body":148},"Buscar un compromiso anterior al parche","BleepingComputer no da ningún indicador concreto, ni huella, ni dirección, ni dominio: no podemos, por tanto, darle una lista de firmas que buscar. Quedan los comportamientos, y hablan. Un servidor multimedia no lanza un intérprete de comandos, no descarga nada en segundo plano, no consume un núcleo entero de forma continua y no contacta con direcciones desconocidas. Examine el periodo que va desde la versión vulnerable y, como mínimo, desde la publicación de los detalles en octubre de 2026. La ausencia de rastros no prueba que no hubo intrusión, porque un minero puede renombrarse; un rastro, en cambio, vale como confesión.",{"type":150,"title":151,"items":152},"ul","Siete comprobaciones, con su comando",[153,154,155,156,157,158,159],"**Procesos hijos inesperados** — `ps -eo pid,ppid,user,lstart,args --forest | grep -B1 -A4 -i \"plex media server\"`. Los hijos normales llevan nombres de Plex (transcodificador, host de scripts); un `sh`, un `bash`, un `curl` o un binario lanzado desde `\u002Ftmp` es sospechoso.","**Consumo de procesador** — `ps aux --sort=-%cpu | head -5`. Un proceso ajeno a Plex que ocupa el procesador de forma continua apunta a un criptominero; `pgrep -a -i xmrig` busca el más conocido, sin descartar un nombre prestado.","**Archivos desconocidos en la carpeta Codecs** — `sudo ls -lat \"\u002Fvar\u002Flib\u002Fplexmediaserver\u002FLibrary\u002FApplication Support\u002FPlex Media Server\u002FCodecs\"`. Plex guarda ahí sus códecs de transcodificación: un nombre que no reconoce, o una fecha sin relación con una transcodificación, merece examen. Con Docker, la misma ruta está en el volumen montado en `\u002Fconfig`.","**Ejecutables recientes fuera de paquetes** — `sudo find \u002Ftmp \u002Fvar\u002Ftmp \u002Fdev\u002Fshm \u002Fvar\u002Flib\u002Fplexmediaserver -xdev -type f -perm \u002F111 -mtime -60 2>\u002Fdev\u002Fnull`. Todo ejecutable de estas carpetas que usted no haya instalado debe explicarse.","**Conexiones salientes** — `sudo ss -tupn state established | grep -i plex` y después `sudo ss -tupn state established`. Busque conexiones hacia direcciones que no reconozca, sobre todo si proceden de un proceso que no es Plex.","**Registros del servicio** — `sudo journalctl -u plexmediaserver --since \"2026-10-01\" | grep -iE \"timeline|transcode|error\"`. Busque llamadas repetidas a `\u002Fplayer\u002Ftimeline` o errores de transcodificación sin reproducción en curso.","**Persistencia** — `sudo crontab -l -u plex`, `sudo systemctl list-timers --all` y `sudo find \u002Fetc\u002Fsystemd\u002Fsystem \u002Fetc\u002Fcron.d -mtime -60`. Una tarea programada o un servicio reciente que usted no creó indica que alguien quiere volver.",{"type":36,"title":161,"body":162},"Si aparece un rastro: reconstruir en lugar de limpiar","Un criptominero hallado prueba una intrusión, pero no que se limitara al minero. Aísle primero el servidor: `sudo ufw default deny incoming`, con SSH permitido solo desde su dirección. Exporte los registros antes de que roten, por ejemplo con `sudo journalctl -u plexmediaserver > plex-journal.txt`. Reconstruya después el VPS desde una imagen limpia, instale la versión corregida antes de abrir nada y restaure solo sus medios y la base de la biblioteca tras revisarlos. Cambie por último todo lo que la cuenta del servicio podía leer: claves SSH, contraseña de Plex, tokens y secretos de entorno. Un servidor reforzado en el lado de Plex sigue expuesto si el kernel no sigue el ritmo: vea nuestro artículo sobre el fallo del kernel Fragnesia.",{"type":150,"title":164,"items":165},"Solución de problemas: cinco situaciones encontradas",[166,167,168,169,170],"**«plexmediaserver is already the newest version» aunque la versión es antigua** — el repositorio de Plex no está configurado en la máquina. Descargue el paquete desde la página oficial de descargas de Plex y ejecute `sudo apt install .\u002Fplexmediaserver_*.deb`.","**El contenedor sigue mostrando la versión antigua tras `docker pull`** — `docker pull` descarga la imagen pero no sustituye el contenedor en marcha. Ejecute `docker compose up -d --force-recreate`.","**El puerto 32400 sigue accesible pese a `ufw deny`** — Docker escribe sus propias reglas y pasa por delante de `ufw`. Publique el puerto en `127.0.0.1:32400:32400` como se describe arriba.","**Las aplicaciones de Plex ya no encuentran el servidor tras cerrar el puerto** — buscaban la dirección pública. Pase por una VPN y añada el servidor con la dirección del túnel.","**nginx responde 401 a las aplicaciones, pero no al navegador** — las aplicaciones no gestionan la autenticación HTTP Basic. Reserve el proxy para el navegador y dé la VPN a las aplicaciones.",{"type":36,"title":172,"body":173},"Fuentes, y lo que ningún aviso del editor dice","No hemos encontrado un aviso de seguridad de Plex que enumere estos CVE. El único elemento del editor que hallamos es el anuncio de la versión 1.43.3.10861 en el foro de Plex, publicado el 4 de agosto de 2026: no menciona ningún fallo ni CVE. El número de versión corregida, la asignación de los cuatro CVE y la puntuación proceden de BleepingComputer, que cita a la CISA y al investigador: conviene contrastarlos con el editor en cuanto publique. No damos fecha de inclusión en el catálogo KEV, al no haberla podido confirmar en el catálogo de la CISA. Y si prefiere dejar Plex en lugar de reforzarlo, nuestra guía de migración a Jellyfin trata ese tema aparte.",{"type":36,"title":175,"body":176},"La documentación oficial","Artículo de BleepingComputer sobre Plex2Shell: https:\u002F\u002Fwww.bleepingcomputer.com\u002Fnews\u002Fsecurity\u002Fcisa-hackers-chain-plex-flaws-in-plex2shell-attacks-to-breach-servers\n\nAnuncio de la versión 1.43.3.10861 en el foro de Plex: https:\u002F\u002Fforums.plex.tv\u002Ft\u002Fplex-media-server\u002F30447\u002F713\n\nCatálogo de vulnerabilidades explotadas de la CISA: https:\u002F\u002Fwww.cisa.gov\u002Fknown-exploited-vulnerabilities-catalog\n\nDescarga de Plex Media Server: https:\u002F\u002Fwww.plex.tv\u002Fmedia-server-downloads\u002F\n\nMódulo auth_basic de nginx: https:\u002F\u002Fnginx.org\u002Fen\u002Fdocs\u002Fhttp\u002Fngx_http_auth_basic_module.html\n\nDocker y cortafuegos: https:\u002F\u002Fdocs.docker.com\u002Fengine\u002Fnetwork\u002Fpacket-filtering-firewalls\u002F\n\nWireGuard, inicio rápido: https:\u002F\u002Fwww.wireguard.com\u002Fquickstart\u002F","Un VPS donde usted decide qué queda expuesto","Con un VPS ServOrbit.com dispone de root, una IPv4 dedicada y un cortafuegos propio: usted elige lo que sale a Internet y puede aislar el servidor multimedia. La administración del VPS existe como opción, para quien no quiera reforzarlo solo; no está incluida. Guía facilitada, sin asistencia directa.","Ver los VPS Cloud","\u002Fvps-cloud",[182,202,222],{"id":183,"slug":184,"slugs":185,"title":189,"excerpt":190,"readTime":23,"views":18,"isPinned":19,"publishedAt":191,"updatedAt":192,"category":193,"categories":199,"featuredImage":30,"bgImage":31,"posterImage":201,"relatedSolution":30},394,"seguridad-plex-migrar-jellyfin-navidrome-vps",{"fr":186,"en":187,"ar":188,"es":184},"plex-securite-migration-jellyfin-navidrome-vps","plex-security-migration-jellyfin-navidrome-vps","امان-plex-هجرة-jellyfin-navidrome-vps","Migrar Plex a Jellyfin y Navidrome en un VPS","Más de 36.000 servidores Plex sin parche contra CVE-2026-96656 y CVE-2026-96651. Guía para migrar a Jellyfin y Navidrome en un VPS root.","2026-09-28T00:00:00+00:00","2026-10-21T15:21:31+00:00",{"id":194,"name":195,"slug":196,"color":197,"icon":198},7,"Autoalojamiento","self-hosting","bg-indigo-500\u002F10 text-indigo-400","cloud",[200],{"id":194,"name":195,"slug":196,"color":197,"icon":198},"\u002Fblog\u002Fcovers\u002Fplex-securite-migration-jellyfin-navidrome-vps-poster.svg",{"id":203,"slug":204,"slugs":205,"title":209,"excerpt":210,"readTime":211,"views":212,"isPinned":19,"publishedAt":213,"updatedAt":214,"category":215,"categories":216,"featuredImage":30,"bgImage":31,"posterImage":218,"relatedSolution":219},292,"migrar-de-plex-a-jellyfin-2026",{"fr":206,"en":207,"ar":208,"es":204},"migrer-plex-vers-jellyfin-2026","migrating-from-plex-to-jellyfin-after-the-july-2026-paywall","الهجرة-من-plex-إلى-jellyfin-بعد-paywall-يوليو-2026","Migrar de Plex a Jellyfin tras el paywall de julio de 2026","Plex puso el streaming remoto tras un muro de pago en julio de 2026. Migre a Jellyfin en su VPS: biblioteca intacta, los mismos clientes.",9,4,"2026-08-22T00:00:00+00:00","2026-09-07T11:26:10+00:00",{"id":194,"name":195,"slug":196,"color":197,"icon":198},[217],{"id":194,"name":195,"slug":196,"color":197,"icon":198},"\u002Fblog\u002Fcovers\u002Fmigrer-plex-vers-jellyfin-2026-poster.svg",{"categorySlug":220,"appSlug":221},"colaboracion-productividad","jellyfin",{"id":223,"slug":224,"slugs":225,"title":229,"excerpt":230,"readTime":23,"views":231,"isPinned":19,"publishedAt":232,"updatedAt":233,"category":234,"categories":239,"featuredImage":30,"bgImage":31,"posterImage":241,"relatedSolution":30},98,"jellyfin-vs-plex-que-servidor-multimedia-autoalojado",{"fr":226,"en":227,"ar":228,"es":224},"jellyfin-vs-plex","jellyfin-vs-plex-which-self-hosted-media-server","jellyfin-مقابل-plex-أي-خادم-وسائط-مستضاف-ذاتيا","Jellyfin vs Plex: ¿qué servidor multimedia autoalojado?","Jellyfin vs Plex: comparativa completa para elegir su servidor multimedia autoalojado en un VPS — despliegue Docker, solución de errores y migración a Jellyfin 12.",1,"2026-03-14T00:00:00+00:00","2026-09-10T13:10:43+00:00",{"id":235,"name":236,"slug":237,"color":238,"icon":237},5,"Comparativas","comparatif","bg-info\u002F10 text-info",[240],{"id":235,"name":236,"slug":237,"color":238,"icon":237},"\u002Fblog\u002Fcovers\u002Fjellyfin-vs-plex-poster.svg",1793414389828]