A Plex confirmou, em atualização publicada em 19 de outubro de 2026 ao seu aviso de segurança original (de 1º de setembro), que quatro vulnerabilidades em seu software Plex Media Server — usado para organizar e transmitir coleções de vídeos, fotos e músicas, inclusive por pequenas empresas que compartilham arquivos internamente — estão sendo exploradas "de forma ativa e generalizada". As falhas, batizadas pela comunidade de segurança de "Plex2Shell" (CVE-2026-96652, CVE-2026-96654, CVE-2026-96655 e CVE-2026-96656), afetam todas as versões do Plex Media Server anteriores à 1.43.3.10861 e, encadeadas, permitem que um invasor sem nenhuma credencial execute código arbitrário com os mesmos privilégios do servidor. Em 20 de outubro de 2026, a CISA (Cybersecurity and Infrastructure Security Agency) incluiu as quatro falhas em seu catálogo de Vulnerabilidades Conhecidas e Exploradas (KEV), confirmação oficial de exploração ativa.
Segundo a própria Plex, a cadeia de ataque começa com uma requisição não autenticada a um endpoint do player que força o servidor a fazer chamadas em nome do invasor (CVE-2026-96652); isso permite acessar funções de um agente interno pela interface local (CVE-2026-96654), obter o token de administrador do proprietário do servidor (CVE-2026-96655) e, por fim, usar esse token para gravar um arquivo malicioso na pasta de codecs do servidor através das preferências do transcodificador (CVE-2026-96656) — resultando em execução remota de código. Um código de prova de conceito foi publicado publicamente em 16 de outubro, e a exploração em massa foi detectada já no dia seguinte; a Plex relata o uso dos servidores comprometidos para minerar criptomoedas e operar como proxy do tráfego de internet de terceiros. O conserto está disponível desde 4 de agosto de 2026, na versão 1.43.3.10861 do Plex Media Server (e 1.115.0 do Plex Desktop), mas, segundo levantamento independente, cerca de 30% dos mais de 320 mil servidores Plex expostos à internet ainda rodavam versões vulneráveis quando a exploração em massa começou.
Por que isso importa para uma PME brasileira: é comum que pequenas empresas usem um servidor Plex doméstico ou de escritório para compartilhar vídeos, fotos ou treinamentos internos, muitas vezes com o acesso remoto ligado para facilitar o acesso de fora do escritório — exatamente o cenário que a Plex aponta como vulnerável. Como a falha não exige nenhuma senha ou login prévio, qualquer servidor desatualizado e exposto à internet pode ser comprometido automaticamente por scripts que varrem a internet em busca de instalações vulneráveis, sem que o ataque tenha como alvo a empresa especificamente.
O que fazer agora: atualize o Plex Media Server para a versão 1.43.3.10861 ou mais recente imediatamente (em Configurações → Geral, no Plex Web, é possível confirmar a versão instalada); em NAS e instalações Linux/Docker, a atualização costuma exigir uma ação manual, então não dependa apenas da atualização automática. Se o servidor ficou exposto à internet com uma versão antiga, trate-o como potencialmente comprometido: a própria Plex recomenda reinstalar do zero em vez de reaproveitar os dados antigos, verificar a pasta "Codecs" e o arquivo de preferências por arquivos ou configurações estranhas, encerrar a sessão em todos os dispositivos e trocar a senha da conta Plex. Caso o acesso remoto não seja necessário, desative-o em Configurações → Acesso Remoto e evite redirecionar a porta 32400 do roteador para a internet.
Fonte primária: aviso oficial de segurança da Plex, atualizado em 19/10/2026, e alerta da CISA sobre inclusão no catálogo KEV, 20/10/2026.
