Una catena di quattro vulnerabilità scoperte in Plex Media Server, il software che milioni di appassionati e piccole aziende usano per trasformare un computer o un NAS domestico in un centro di streaming per film, serie e musica, è stata inserita dalla statunitense CISA (Cybersecurity and Infrastructure Security Agency) nel suo catalogo delle vulnerabilità note sfruttate (Known Exploited Vulnerabilities, KEV). Il nome con cui gli esperti hanno battezzato l'attacco, Plex2Shell, descrive bene la posta in gioco: dalla semplice interfaccia web di gestione di un media server si può arrivare, concatenando i quattro bug, all'esecuzione di codice con i privilegi dell'amministratore del sistema.
Come funziona la catena Plex2Shell
Le quattro falle coinvolte hanno numerazione CVE-2026-96652, CVE-2026-96654, CVE-2026-96655 e CVE-2026-96656. Le prime due sono difetti di tipo SSRF (server-side request forgery): la prima, non autenticata, agisce sull'endpoint /player/timeline e costringe il server Plex a inviare richieste POST verso destinazioni arbitrarie, incluse le sue stesse API interne; la seconda, che richiede invece un account valido, sfrutta l'endpoint del transcoder per far contattare al server indirizzi interni o esterni scelti dall'attaccante. La terza falla riguarda una gestione scorretta degli URL nella funzione di ricerca interna (searchOne), che permette di richiamare funzioni di altri plugin con parametri manipolati. La quarta, la più pericolosa, consente nelle impostazioni del transcoder una scrittura di file arbitraria: un amministratore malintenzionato, o un attaccante che sia riuscito a impersonarne uno grazie alle falle precedenti, può così depositare sul sistema una libreria condivisa malevola che Plex caricherà automaticamente, ottenendo l'esecuzione di codice. Il ricercatore che ha scoperto e segnalato la catena, Zach Main, ha valutato l'intero attacco combinato con un punteggio di gravità CVSS di 9,8 su 10, nella fascia critica.
Dai server-esca ai sistemi reali: una cronologia rapida
La tempistica con cui la vicenda si è sviluppata è un caso di scuola di quanto velocemente una vulnerabilità possa passare dalla scoperta responsabile allo sfruttamento di massa. Zach Main ha segnalato privatamente i quattro bug a Plex il 27 luglio 2026; l'azienda ha pubblicato la versione corretta, la 1.43.3.10861, il 3-4 agosto. I dettagli tecnici completi sono stati resi pubblici il 16 ottobre e, già il giorno successivo, i primi report di sfruttamento attivo hanno cominciato a circolare: gli attaccanti hanno preso di mira in particolare i server-esca (honeypot) usati dai ricercatori per osservare il traffico malevolo, infettandoli con software di mining di criptovalute. Intorno al 19 ottobre è apparso online anche un proof-of-concept pubblico dell'intera catena, accelerando ulteriormente la diffusione degli attacchi. Il 20 ottobre CISA ha aggiunto le quattro falle Plex al catalogo KEV, insieme ad altre due vulnerabilità sfruttate attivamente: un difetto di DLL sideloading nel Siemens Software Center (CVE-2026-110936), collegato a campagne di attacco che usano la piattaforma di distribuzione malware Romulus con la tecnica ClickFix, e un'iniezione di comandi nel web application firewall SiteGuard Server Edition di EG Secure Solutions (CVE-2026-106931), per cui è lo stesso produttore a confermare lo sfruttamento in corso. In base alla direttiva vincolante BOD 26-04, le agenzie federali statunitensi devono mettere in sicurezza tre delle sei falle entro il 23 ottobre e le restanti entro il 3 novembre 2026.
Il monitoraggio indipendente condotto dal progetto Shadowserver, che dal 4 settembre 2026 scandaglia quotidianamente la rete alla ricerca di installazioni Plex esposte, ha rilevato che più di 36.000 server Plex Media Server raggiungibili da Internet restano ancora privi della patch, con versioni pari o inferiori alla 1.43.2. Un numero che da solo spiega perché gli attaccanti abbiano scelto Plex come bersaglio: non si tratta di un prodotto di nicchia per esperti, ma di un software installato su centinaia di migliaia di PC, NAS e mini-server domestici in tutto il mondo, spesso configurato una volta e poi lasciato acceso per anni senza controlli periodici.
Chi è a rischio e cosa fare subito
Il profilo di chi rischia di più in questa vicenda non è l'azienda con un reparto IT dedicato, ma l'utente privato, l'appassionato di home theater o il piccolo professionista che gestisce un server multimediale personale, magari condiviso con amici e familiari tramite la funzione di accesso remoto di Plex. Proprio per questo la prima e più urgente contromisura è anche la più semplice: aggiornare Plex Media Server alla versione 1.43.3.10861 o successiva (e, dove utilizzato, il client Plex Desktop alla 1.115.0), passando dal pannello di amministrazione del server o attivando gli aggiornamenti automatici. CISA ricorda che, in alternativa temporanea alla patch, è possibile applicare le mitigazioni indicate da Plex, ma la raccomandazione di fondo resta univoca: non lasciare raggiungibile da Internet l'interfaccia di gestione del server senza necessità, preferendo l'accesso tramite VPN o reti private quando non sia indispensabile l'accesso remoto diretto, e verificare periodicamente, anche per i dispositivi "che funzionano da soli", che il software installato non sia rimasto indietro di mesi o anni rispetto alle versioni correttive disponibili.
Il commento di PINET
Plex2Shell racconta una dinamica che riguarda da vicino anche l'Italia, dove l'uso di NAS e mini-server domestici per organizzare foto, film e musica di famiglia è diffuso quanto altrove: la differenza, spesso, è che qui manca ancora di più la cultura della manutenzione periodica di dispositivi percepiti come "elettrodomestici" e non come sistemi informatici da tenere aggiornati. Il catalogo KEV di CISA non ha valore vincolante per i privati né per le aziende italiane, ma resta un riferimento pratico seguito da molti professionisti della sicurezza anche nel nostro paese proprio perché segnala, con tempi di risposta rapidi, quali falle sono già sotto attacco reale e non solo teoriche. L'ostacolo principale alla sua applicazione diffusa non è tecnico ma culturale e organizzativo: per un utente privato aggiornare un NAS richiede sapere che esiste un aggiornamento, per un piccolo studio professionale significa trovare il tempo per una verifica che nessuno ha in carico. Un giudizio equilibrato deve riconoscere che Plex ha reagito in tempi ragionevoli, correggendo la falla a inizio agosto, due mesi e mezzo prima che lo sfruttamento diventasse di massa: il problema, qui come in molti altri casi recenti, non è la velocità del vendor ma la lentezza con cui patch già disponibili arrivano sui sistemi reali.
