Plex：立即修复这些漏洞

代码卫士 · 2026-09-04 17:56 · 4 阅读

Sergiu Gatlan 2026-09-04 17:56 北京

速修复

聚焦源代码安全，网罗国内外最新资讯！

编译：代码卫士

Plex本周敦促用户立即更新桌面客户端和媒体服务器，修复多个暂无CVE编号的漏洞。虽然Plex在周二并未提供更多细节，但已知这些安全问题影响Plex Media Server v1.43.2及更早版本。

Plex还向运行受影响版本的用户发送了电子邮件，要求他们尽快更新，修复这些缺陷。该公司表示：“我们近期发布了Plex Media Server 1.43.3和Plex Desktop 1.115.0，解决若干安全问题。我们建议所有服务器所有者和桌面用户尽快更新到最新版本。我们已申请CVE编号，一旦公布，我们将在该帖中回复更多详细信息。如果您在NAS设备上运行Plex Media Server，更新版本可能尚未在其包管理器中提供，但您可以手动安装该软件包。”

建议运行受影响版本的用户尽快通过将Plex Media Server更新至1.43.3版（于5月19日发布）和Plex Desktop客户端更新至1.115.0版（于8月13日发布）来保护系统安全，这些更新可从官方下载页面或服务器管理页面获取。

尽管Plex迄今未分享关于这些漏洞的任何详情，但用户应遵循该公司的建议，在攻击者对补丁进行逆向工程并开发出利用代码之前保护好自己的系统。虽然Plex多年来已修补过多个严重安全漏洞，但这是为数不多的几次该公司还通过电子邮件通知客户升级系统以应对特定漏洞的情况之一。

2025年8月，该公司还曾警告用户修复高危漏洞CVE-2025-34158，它可导致威胁行动者窃取服务器所有者的凭据。更早之前，在2023年3月，CISA将Plex媒体服务器的一个远程代码执行漏洞（CVE-2020-5741）标记为已被积极利用，该漏洞可允许攻击者让服务器执行恶意代码。

虽然CISA未披露利用CVE-2020-5741的攻击细节，但这些攻击很可能与LastPass披露的事件有关——2022年，该公司一名高级DevOps工程师的计算机因第三方媒体软件的RCE漏洞被入侵，并被安装了键盘记录恶意软件。攻击者利用该访问权限窃取了该工程师的凭据，进而入侵了LastPass公司保险库，导致2022年8月发生大规模数据泄露，他们窃取了LastPass的数据库备份。同月，Plex通知用户发生数据泄露，并警告他们在攻击者获取了包含电子邮件、用户名和加密凭据的数据库访问权限后重置密码。