PlexがMedia Server 1.43.3とDesktop 1.115.0で複数の脆弱性を修正 — 全サーバー管理者に即時更新を要請、NASは手動導入を

メディアサーバーソフトのPlexは2026年9月初旬、Plex Media Server 1.43.3とPlex Desktop 1.115.0で複数のセキュリティ問題を修正し、公式フォーラムで全利用者に速やかな更新を呼びかけた。修正内容の詳細は現時点で非公開で、CVE番号は申請中だ。同社は番号が発行され次第、告知スレッドに詳細を追記するとしている。

影響範囲とPlexの要請 — 1.43.2以前は更新を

Plexの告知によると、対象はPlex Media Server 1.43.2以前と、旧バージョンのPlex Desktopだ。同社は**「すべてのサーバー管理者とDesktop利用者は、できるだけ早く最新版へ更新すること」を推奨している。自動更新を有効にしている場合も、バージョンが1.43.3以降**になっていることを確認するよう求めている。

NASでPlex Media Serverを動かしている場合、NASメーカーのパッケージマネージャには新版がすぐ反映されないことがある。その場合は公式ダウンロードページから機種に合ったパッケージを入手し、各メーカーの手順で手動導入するよう案内している。WindowsとmacOSは自動更新の確認か公式ページからの再インストール、Ubuntuは.deb、Fedora・CentOS系は.rpmの手動導入、Dockerは公式リポジトリの手順が示されている。

過去にも悪用例 — 2025年8月には認証欠陥CVE-2025-34158を修正

Plex Media Serverの脆弱性が攻撃に使われた例は過去にもある。NVDの記録によると、2025年8月に修正されたCVE-2025-34158は、/myplex/accountエンドポイントが権限の低い利用者にもサーバー所有者の認証情報を渡してしまう欠陥で、/api/resourcesへの呼び出しと組み合わせると所有者のサーバー群全体の把握につながるものだった。2020年のCVE-2020-5741（CVSS 7.2）はWindows版のデシリアライズ欠陥で、認証済みの攻撃者による任意のPythonコード実行を許す内容だった。2022年のLastPass侵害では、従業員の自宅PC上のPlexの脆弱性が侵入経路の一つだったとされる。

今回修正された問題の詳細はまだ不明だが、Plexは内容を伏せたまま先に更新だけを求める対応を取っている。管理画面をインターネットに公開しているサーバーは格好の標的になり得るため、日本でNASや自宅サーバー、SOHO環境でPlexを使っている管理者は、まずバージョンの確認から始めることが望ましい。Plex自身も全管理者に速やかな更新を推奨しており、NAS利用者は手動導入の手順に従うことが確実だ。