Plex-servere angribes nu: Opdater til 1.43.3.10861 med det samme

Opdateret 21. oktober 2026: Da artiklen udkom den 7. september, var der ingen kendt udnyttelse af hullerne, og Plex havde ikke offentliggjort detaljer. Begge dele har ændret sig. Den 19. oktober skrev Plex, at hullerne nu udnyttes "aktivt og bredt", og selskabet har offentliggjort fire CVE-numre. Den 20. oktober føjede den amerikanske myndighed CISA de fire huller til sin liste over udnyttede sårbarheder. Plex har samtidig præciseret, at den sikre version er 1.43.3.10861 og ikke blot "1.43.3". Rubrikken, manchetten, afsnittene om versioner og udnyttelse samt konklusionen er skrevet om, og der er tilføjet afsnit om tegn på angreb og om, hvad du gør, hvis serveren er ramt. Afsnittene om eksponering og Plex' tidligere huller er stort set uændrede.

Kører du Plex Media Server derhjemme — på en NAS, en gammel pc eller en Mac i skabet — skal du opdatere den nu. Hullerne, som Plex lukkede i begyndelsen af september, bliver nu brugt i angreb. I en opdatering af sin officielle sikkerhedsmeddelelse skrev Plex den 19. oktober: "These vulnerabilities are being actively and widely exploited."

Ifølge Plex blev en offentlig demonstration af angrebet, en såkaldt proof of concept, lagt ud den 16. oktober. Angrebene har ramt servere, der kan nås fra internettet og ikke er opdateret, og de overtagne servere er blevet brugt til at køre kryptominere og proxysoftware. Den sikre version er Plex Media Server 1.43.3.10861 eller nyere, og Plex skriver: "If your server is older than 1.43.3.10861 and reachable from the internet, assume it may be compromised." Altså: Er din server ældre og kan nås udefra, skal du gå ud fra, at den kan være kompromitteret.

Hvilke versioner er ramt?

Læg mærke til det fulde versionsnummer. Plex' oprindelige melding i september talte om "1.43.3", men den præcise grænse er nu 1.43.3.10861. Står der blot 1.43.3 i din server, så se efter de sidste cifre. Er tallet efter det sidste punktum lavere end 10861, er din server ikke sikker.

Plex Desktop var også omfattet af september-meldingen. Plex' opdatering fra 19. oktober om angrebene handler om Plex Media Server. Plex' mobil- og tv-apps er ikke nævnt.

De fire huller

I september ville Plex ikke fortælle, hvad hullerne gik ud på. Nu har selskabet offentliggjort fire CVE-numre. Ifølge Plex kan de kædes sammen, så en angriber uden login kan køre egen kode med de rettigheder, Plex Media Server har på maskinen.

Den 20. oktober føjede den amerikanske cybersikkerhedsmyndighed CISA alle fire til sit katalog over kendte, udnyttede sårbarheder, det såkaldte KEV-katalog. Kataloget indeholder frister for, hvornår amerikanske føderale myndigheder skal have lukket hullerne. De frister gælder ikke for private eller for danske brugere. Men en optagelse i kataloget betyder, at CISA har set bevis for, at hullerne bliver brugt i rigtige angreb.

Tegn på, at din server er ramt

Plex nævner fire tegn:

• Ukendte processer startet af Plex Media Server. Plex nævner navnene myawesomeproxy, mylovelyminer og x12345.
• Ukendte .so- eller .dll-filer i Plex' Codecs-mappe.
• Udgående forbindelser til domænet proxystream.st.
• Vedvarende høj processorbelastning, selv om der ikke afspilles noget.

Det sidste er det tegn, de fleste vil kunne se uden tekniske værktøjer. Larmer blæseren på din NAS eller gamle pc, eller er den usædvanligt varm, selv om ingen ser film, er det værd at undersøge. En kryptominer bruger maskinens kræfter døgnet rundt. Vi så det samme mønster, da falske Steam-forumindlæg installerede kryptomineren XMRig.

Er din server særligt udsat?

Plex' advarsel gælder især servere, der kan nås fra internettet. Plex Media Server er som udgangspunkt beregnet til at kunne tilgås udefra — det er hele pointen med at kunne se sine film fra sommerhuset — og mange danske opsætninger har derfor Fjernadgang slået til, med portvideresendelse i routeren.

Ifølge tal fra Censys, som The Hacker News henviste til i september, er der cirka 360.000 enheder på internettet, der eksponerer en Plex Media Server-grænseflade offentligt. Det er ikke ensbetydende med, at de alle er sårbare eller angrebet — men det siger noget om, hvor mange servere der i praksis kan nås udefra. Der er ikke oplyst noget om ramte servere i Danmark.

Tommelfingerreglen er simpel: en server, der kun kan nås fra dit eget netværk, er markant mindre udsat end en, der kan nås fra hele verden. Plex anbefaler selv at slå fjernadgang fra, hvis du ikke har brug for den, under Indstillinger → Fjernadgang, og at undgå at videresende port 32400 direkte i routeren, medmindre det er nødvendigt.

Det er den samme grundproblematik, vi så med Dahua-overvågningskameraerne, hvor bagdøren overlevede en fabriksnulstilling: hjemmeudstyr, der står og lytter på internettet, bliver fundet af automatiske scannere inden for timer — ikke uger.

Sådan opdaterer du

På pc, Mac eller Linux: Åbn Plex' webgrænseflade, gå til Indstillinger → Generelt, og tjek versionsnummeret. Er der en opdatering, tilbydes den typisk direkte. Alternativt kan du hente den nyeste udgave fra Plex' egen downloadside.

På en NAS (Synology, QNAP, Asustor med flere): Her er der en fælde. Plex bemærker selv, at NAS-brugere kan blive nødt til at installere pakken manuelt, hvis opdateringen endnu ikke er tilgængelig gennem enhedens egen pakkehåndtering. Med andre ord: at der ikke står en opdatering klar i din NAS' app-center, betyder ikke, at du er opdateret. Tjek versionsnummeret i Plex selv, og hent om nødvendigt den korrekte pakke til din NAS-model direkte hos Plex.

Plex Desktop: Opdateres via appen eller ved at hente 1.115.0 fra samme downloadside.

Efter opdateringen: gå tilbage til Indstillinger → Generelt og bekræft, at der står 1.43.3.10861 eller nyere. Har serveren kunnet nås fra internettet på en ældre version, er du ikke færdig endnu. Gå videre til næste afsnit.

Hvis din server kan være ramt

En opdatering lukker hullerne, men den fjerner ikke det, en angriber allerede har lagt på serveren. Plex' råd, hvis du finder tegn på angreb eller ikke kan udelukke det:

1. Byg serveren op fra en ren installation i stedet for at genbruge den gamle Plex-datamappe. Det betyder i praksis, at biblioteket skal sættes op igen, men det er den sikre løsning.
2. Som minimum: Slet alt i Codecs-mappen, og gennemgå filen Preferences.xml for indstillinger til omkodning, du ikke selv har sat.
3. Log ud af alle enheder i dine Plex-kontoindstillinger, og skift din Plex-adgangskode.
4. Betragt alt, hvad Plex-tjenesten havde adgang til, som muligvis eksponeret. Det gælder for eksempel netværksdrev, der er forbundet til serveren, og gemte adgangskoder.

Det fjerde punkt er det, mange overser. Kører Plex på samme NAS som familiens fotos og dokumenter, eller på en pc med gemte adgangskoder, kan angriberen have haft adgang til mere end filmene. Skift i så fald også de adgangskoder, der lå på maskinen, fra en anden enhed. Lektien er den samme som fra bagdøren i AOMEI Backupper: en enhed er ikke ren, bare fordi hullet er lukket.

Plex har haft alvorlige huller før

Det er ikke første gang, og historikken forklarer, hvorfor rådet tages alvorligt i sikkerhedskredse:

• August 2025: En alvorlig autentifikationsfejl (CVE-2025-34158, CVSS 8,5) kunne eksponere administrator-tokens.
• August 2022: En Plex-sårbarhed (CVE-2020-5741) blev det led i angrebskæden, der førte til bruddet hos adgangskodetjenesten LastPass — en Plex-server på en medarbejders hjemmemaskine.
• Februar 2021: En UDP-refleksionssårbarhed blev udnyttet til at forstærke DDoS-angreb.

Særligt LastPass-sagen er værd at huske. Den viser, at en hjemmeserver ikke kun er en risiko for dine egne feriefilm — den kan være indgangen til noget helt andet, hvis den står på samme maskine som dit arbejde.

Hvad betyder det for danske Plex-brugere?

Plex har en solid dansk brugerskare, fordi den løser et konkret problem: at samle egne film, serier og musik ét sted og kunne se det på tv, telefon og bærbar. Det er også netop derfor, serverne ofte kører uovervåget i årevis — de "bare virker", og så bliver de ikke rørt. Det er præcis de servere, der nu er i fare.

Tre praktiske råd, der rækker ud over denne ene opdatering:

1. Slå automatiske opdateringer til, hvis din platform tilbyder det. En medieserver er ikke et sted, hvor du vil køre en version fra 2024.
2. Sæt en påmindelse hvert kvartal til at tjekke versionsnummeret manuelt — især hvis serveren kører på NAS, hvor opdateringer kan halte bagefter.
3. Overvej, om fjernadgang skal være slået til hele tiden. Bruger du den to gange om året, er et VPN til hjemmenetværket en langt mindre eksponeret løsning.

Og et fjerde, som gælder alt hjemmeudstyr: hold øje med, hvilke domæner dine enheder henter opdateringer fra. Hentede pakker fra andre kilder end producentens egne sider er en velkendt angrebsvej — vi har tidligere beskrevet, hvordan hackere opkøber udløbne domæner for at overtage links, folk stoler på.

Konklusion

Da vi skrev om hullerne i september, var der ingen kendt udnyttelse. Det er der nu. Plex beskriver angrebene som aktive og udbredte, en offentlig angrebskode har ligget frit tilgængelig siden 16. oktober, og CISA har sat alle fire huller på listen over sårbarheder, der bruges i angreb.

Tjek versionsnummeret i din Plex-server i dag. Står der noget lavere end 1.43.3.10861, så opdater med det samme. Har serveren kunnet nås fra internettet, så gennemgå tegnene ovenfor, og byg den op på ny, hvis du er i tvivl. Kører den på en NAS, så tjek versionen manuelt, for der er den mest sandsynlige kandidat til at være bagud.