Plex au catalogue KEV : le logiciel de la maison au travail

Le 20 octobre 2026, la CISA a ajouté six vulnérabilités à son catalogue des vulnérabilités exploitées (KEV), dont quatre dans Plex Media Server : CVE-2026-96652, CVE-2026-96654, CVE-2026-96655 et CVE-2026-96656. La veille, Plex écrivait que ces failles sont « being actively and widely exploited ». Plex n'est pas un logiciel d'entreprise. C'est justement la question : que vaut votre accès à distance quand il part d'une machine qui fait aussi tourner un serveur multimédia personnel ?

Ce que disent les sources

La CISA. L'alerte du 20 octobre 2026 inscrit les quatre failles Plex, avec une faille d'EG Secure Solutions SiteGuard et une de Siemens Software Center. Dans le fichier JSON du catalogue, deux des failles Plex (CVE-2026-96654 et CVE-2026-96656) portent une date limite au 23 octobre, les deux autres au 3 novembre. Pour chacune, le catalogue précise qu'elle peut s'enchaîner avec les trois autres, et le champ sur l'usage par des rançongiciels indique « Unknown ».

Plex. L'éditeur a publié Plex Media Server 1.43.3 et en a fait l'annonce le 1er septembre 2026, en recommandant à tous les propriétaires de serveur de mettre à jour au plus vite. Le 19 octobre, il a ajouté les détails : enchaînées, les quatre failles permettent à un attaquant non authentifié et distant d'exécuter du code avec les privilèges du processus Plex Media Server. Une preuve de concept publique est sortie le 16 octobre, suivie d'attaques étendues contre les serveurs exposés à Internet et non mis à jour. Plex écrit que les serveurs compromis ont servi à faire tourner des mineurs de cryptomonnaie et des logiciels mandataires, qui font passer le trafic d'autres personnes par la connexion Internet de la victime. Les versions 1.43.3.10861 et ultérieures ne sont pas touchées, et la consigne est nette : « If your server is older than 1.43.3.10861 and reachable from the internet, assume it may be compromised. » Plex demande aussi de traiter comme exposé tout ce que le compte de service pouvait atteindre, « such as mounted shares and credentials stored on the same machine or VM », de désactiver l'accès à distance s'il n'est pas utile et d'éviter de rediriger directement le port 32400.

LastPass, un précédent. Dans sa mise à jour du 1er mars 2023 sur l'incident de 2022, LastPass écrit : « The threat actor targeted a senior DevOps engineer by exploiting vulnerable third-party software. » L'attaquant s'en est servi pour déployer un logiciel malveillant, contourner les contrôles en place et accéder aux sauvegardes infonuagiques, qui contenaient notamment des données de configuration, des secrets d'API et des secrets d'intégration. LastPass dit avoir revu ses contrôles d'accès privilégiés et renouvelé les secrets et certificats consultés.

Pourquoi ça compte

Le périmètre réel de l'entreprise passe par le salon des employés. Un ordinateur personnel qui sert aussi au télétravail, un NAS sur le même réseau domestique, un portable de travail qui y est branché : la sécurité de l'accès à distance dépend en partie de logiciels que l'équipe TI n'a jamais vus.

L'avis de Plex rend le lien concret. Ce que le compte de service atteint, partages et identifiants stockés sur la même machine, est à considérer comme exposé. Si un employé y a ouvert une session VPN, enregistré un mot de passe ou un jeton, ces accès sont dans le lot.

Le cas LastPass montre l'effet de levier. Un seul logiciel tiers vulnérable sur la machine d'un ingénieur aux accès privilégiés a mené aux sauvegardes de l'entreprise. Plus l'utilisateur a de droits, plus son poste mérite d'être traité comme un actif critique.

Enfin, l'usage mandataire décrit par Plex fragilise la confiance par adresse IP. Si un serveur compromis fait passer le trafic d'autres personnes, l'adresse résidentielle d'un employé ne prouve plus que c'est lui qui se connecte.

Ce que nous en pensons chez Sentrix

1. Exigez une posture d'appareil pour tout accès distant. Version du système, chiffrement, agent de détection actif, correctifs à jour : l'accès conditionnel les vérifie avant d'ouvrir la session. Notre service postes et serveurs les met en place et les surveille.
2. Séparez le personnel du professionnel pour les accès privilégiés. Administration, production et secrets ne passent que par un poste géré, jamais par l'ordinateur familial. C'est le cœur de notre service identité et accès.
3. Ne faites pas confiance à une adresse IP résidentielle. Une liste d'adresses autorisées ne remplace pas une authentification multifacteur résistante à l'hameçonnage ni une vérification de l'appareil.
4. Inventoriez les logiciels des postes gérés, grand public compris. Un serveur Plex sur un portable de travail se trouve en lisant l'inventaire logiciel, puis se compare au catalogue KEV. C'est ce que fait le module CTEM d'exposition continue.
5. Donnez une consigne simple pour le réseau domestique. Mettre à jour les logiciels qui exposent un service, couper l'accès à distance inutile, éviter les redirections de ports, isoler les appareils personnels du poste de travail quand le routeur le permet.
6. Réduisez ce qu'un poste détient. Sessions courtes, jetons à durée limitée et secrets renouvelés limitent ce qu'un attaquant tire d'une machine compromise, comme LastPass l'a fait après coup.

La prochaine étape

Posez trois questions cette semaine : qui accède à vos systèmes depuis un appareil personnel, quelle posture est vérifiée avant l'ouverture de session, et quels comptes privilégiés se connectent hors d'un poste géré. Si vous voulez y répondre avec nous, contactez-nous.