Verontrustend: meer dan 300.000 kwetsbare Plex-servers hebben nog geen update gekregen
In totaal werden 428.083 Plex-servers geïdentificeerd die kwetsbaar waren voor het beveiligingslek. Gebruikers werden via mail op de hoogte gebracht dat ze zo snel mogelijk een nieuwe update moesten installeren. Nu, enkele weken later, blijkt dat minstens 314.000 Plex-servers nog steeds kwetsbaar zijn omdat de update in kwestie nog niet geïnstalleerd werd. Dat zelfs na een rechtstreekse oproep slechts iets meer dan 100.000 servers de update kregen, is verontrustend, gezien de ernst van het lek.
Hoogste risicoscore voor Plex-lek
Toen Plex communiceerde over het lek (in versies 1.41.7.x tot 1.42.0.x van de Plex Media Server) werden er nog niet veel details over gedeeld, wat niet onlogisch is aangezien het om een kwetsbaarheid met de hoogste risicoscore betreft. Dat betekent dat het lek van op afstand via het internet misbruikt kan worden, dat de exploit makkelijk uit te voeren is en dat er geen enkele interactie of authenticatie van de eigenaar van de server vereist is. Bovendien kan een succesvolle aanval leiden tot een complete overname van het hele serversysteem. Alle data zou dus makkelijk gestolen of verwijderd kunnen worden.
Destijds was er voor het lek zelfs nog geen CVE-nummer beschikbaar om de kwetsbaarheid op te volgen, maar dat nummer is er nu wel in de vorm van CVE-2025-34158. Daarmee zijn echter meteen ook meer details over het lek beschikbaar, wat cybercriminelen wel eens op ideeën zou kunnen brengen en dat is zoals gezegd verontrustend aangezien meer dan 300.000 Plex-servers nog steeds kwetsbaar zijn.
Voorts is het nog afwachten of het Plex-lek ook een risico vormt voor andere systemen die op een of andere manier in hetzelfde netwerk als de Plex-server zitten. Het haalt alleszins slechte herinneringen op aan de LastPass-hack van augustus 2022, toen aanvallers een bedrijfsnetwerk konden binnendringen na eerst een Plex-lek te hebben misbruikt.
Lichtpuntje
Een lichtpuntje is dat er voorlopig nog geen aanwijzingen zijn dat de exploit al actief misbruikt is geweest of actief misbruikt wordt. Daarnaast zijn ook nog niet alle details van het lek openbaar. Cybercriminelen hebben dus nog geen kant en klare handleiding om de kwetsbaarheid te misbruiken.
Mogelijk is het echter slechts een kwestie van tijd alvorens het lek ten volle ontdekt wordt door malafide figuren. Hopelijk zijn tegen dan alle getroffen Plex-servers bijgewerkt zodat het lek niet meer misbruikt kan worden, maar de eerste cijfers zijn wat dat betreft weinig bemoedigend. Hoe dan ook is updaten dus de boodschap.
