LONDON (IT BOLTWISE) – Plex drängt Nutzer zu einem sofortigen Update der aktuellen Plex-Instanzen. Betroffen sind Plex Media Server 1.43.3 sowie Plex Desktop 1.115.0. Der Anbieter nennt keine Details zu den neuen Schwachstellen, will aber die zugehörigen CVE-IDs nachreichen. Für NAS-Betrieb kann das manuelle Nachinstallieren nötig sein, wenn Updates noch nicht im Paketmanager erscheinen.
Plex adressiert gleich mehrere Sicherheitslücken in seiner Media-Server- und Desktop-Software und koppelt die Empfehlung an eine klare Handlungsmaxime: Wer Plex betreibt, soll seine Instanz so schnell wie möglich aktualisieren. Konkret nennt der Anbieter Plex Media Server 1.43.3 sowie Plex Desktop 1.115.0 als aktuelle Zielversionen. Auffällig ist dabei, dass Plex die Art der neuen Probleme nicht öffentlich ausführt, aber explizit signalisiert, dass für die Lücken CVE-Identifiers angefragt wurden. Für Administratoren ist das trotzdem ein Signal mit hoher Priorität, denn auch ohne technische Detailanalyse bleibt das Sicherheitsrisiko zeitkritisch, sobald Patches verfügbar sind.
Technisch lässt sich die Dringlichkeit aus früheren Plex-Vorfällen gut nachvollziehen. Im August 2025 veröffentlichte Plex einen Fix für eine als hoch eingestufte Sicherheitslücke (CVE-2025-34158) mit einem CVSS-Score von 8,5. Dabei ging es um einen Authentifizierungsfehler, der aus dem Endpoint „/myplex/account“ resultierte: Serverinformationen des Besitzers, inklusive eines administrativen Zugriffstokens, konnten selbst dann offengelegt werden, wenn ein nicht-privilegierter, aber authentifizierter Nutzer zugriff. Zusätzlich konnte ein nachgelagerter Aufruf über „/api/resources“ dazu genutzt werden, weitere Server aufzuzählen, auf die dieser Serverbesitzer Zugriff hat. In der Kombination ergab sich damit eine typische Exploit-Kette, die nicht nur einzelne Daten betrifft, sondern die Discovery der gesamten Plex-Infrastruktur erleichtern kann.
Für die Lageeinschätzung ist auch relevant, wie viele Plex-Installationen grundsätzlich öffentlich erreichbar sind. Laut Daten aus Censys waren mehr als 360.000 Geräte mit der Plex-Media-Server-Weboberfläche im Internet erreichbar; allerdings schränkt der Bericht gleichzeitig ein, dass nicht alle dieser Systeme tatsächlich von den jeweiligen Schwachstellen betroffen sind. Genau hier liegt die operative Herausforderung: Viele Angriffe starten nicht bei der „letzten Meile“ der IT-Sicherheit, sondern bei der Angriffsfläche. Wenn Webschnittstellen ohne ausreichende Zugriffskontrollen im WAN sichtbar sind oder wenn sich einmal gültige Sessions bzw. Tokens missbrauchen lassen, wächst der Nutzen für Angreifer. Für Unternehmen und Privatanwender bedeutet das, dass ein Update nicht nur eine punktuelle Patch-Pflicht ist, sondern auch die allgemeine Exponierung des Dienstes adressiert.
Plex hat solche Muster bereits in der Vergangenheit begegnet. Im Februar 2021 veröffentlichte der Anbieter eine Sicherheitskorrektur, die ein Problem beheben sollte, bei dem Angreifer einen betroffenen Server dazu bringen konnten, „reflected“ UDP-Pakete zu erzeugen. Dieses Verhalten kann die Grundlage für einen verstärkten Denial-of-Service-Angriff (DoS) gegen einen Drittsystem-Zielhost bilden. Der Hotfix (Plex Media Server v1.21.3.4014 oder neuer) beschränkt die Serverantwort demnach auf UDP-Anfragen aus dem lokalen Netzwerk (LAN) und unterbindet entsprechende Requests aus dem öffentlichen Internet (WAN). Solche Änderungen sind zwar technisch vergleichsweise „klar“, aber sie zeigen, wie stark die Sicherheit davon abhängt, ob Dienste korrekt segmentiert und Netzwerkpfade sauber eingeschränkt sind.
Auch jenseits von Plex selbst bleibt die Sicherheitslehre deutlich. In dem vom Quelltext beschriebenen Szenario rund um den August-2022-Breach bei LastPass wird angeführt, dass Angreifer Keylogger-Malware auf einem Rechner eines Mitarbeiters installiert hätten – angestoßen durch eine Kompromittierung über eine Plex-Media-Server-Schwachstelle (CVE-2020-5741, CVSS 7,2). Damit wird ein Muster sichtbar, das für Betreiber meist unangenehm ist: Selbst wenn der erste Schritt „nur“ in einem Mediensystem stattfindet, kann er später zu weiteren Kompromittierungen führen. Für Sicherheitsverantwortliche folgt daraus eine einfache, aber oft schwer umzusetzennde Konsequenz: Patch-Management und Segmentierung müssen Hand in Hand gehen, und besonders exponierte Dienste sollten als Teil der Sicherheitsarchitektur behandelt werden, nicht als Randnotiz.
Für die Umsetzung hat Plex eine praxisnahe Erwartungssteuerung geliefert: Wenn Plex Media Server auf einem NAS-Gerät läuft, ist das Update unter Umständen noch nicht sofort im Paketmanager verfügbar. In diesem Fall empfiehlt der Anbieter, das Paket manuell zu installieren. Genau solche Details entscheiden im Betrieb über Zeitverzug oder schnelle Risikominderung. Wer Plex in einer heterogenen Umgebung nutzt, sollte deshalb die Update-Pfade für jedes Zielsystem prüfen: Desktop-Clients lassen sich häufig zentral aktualisieren, während NAS-Umgebungen oft von inoffiziellen Paketquellen, Verzögerungen im Feed-Update oder restriktiven Upgrade-Prozessen geprägt sind. Der Patch-Call von Plex zielt erkennbar darauf, diese Verzögerung zu überbrücken, bevor aus einer theoretischen Schwachstelle eine real ausnutzbare Angriffsfläche wird.
Aus Markt- und Branchenperspektive ist die Meldung zudem ein Hinweis darauf, wie schnell sich Angriffsrealität verlagert, sobald ein Anbieter Updates ausliefert. Angreifer warten nicht zwingend auf die vollständige CVE-Nummer oder auf detaillierte technische Analysen; sie nutzen oft kurzfristige Gelegenheiten, sobald Proof-of-Concepts oder gezielte Exploit-Ketten verfügbar sind. Für Betreiber heißt das: Nicht die „offizielle Details nach CVE“-Timeline bestimmt die Priorität, sondern die Verfügbarkeit der Fixes selbst. Wer Plex regelmäßig aktualisiert und die Weboberfläche nur dort betreibt, wo sie unbedingt benötigt wird, reduziert die Angriffsoberfläche spürbar. Unabhängig von der genauen Ursache der aktuellen Lücken bleibt die Richtung eindeutig: Server und Desktop auf die genannten Versionen bringen und die Exponierung im Netzwerk konsequent prüfen.
💳 Amazon-Kreditkarte mit 2.000 Euro Limit bestellen!
🔥 Heutige Hot Deals bei Amazon: Bis zu 80% Rabatte!
🎉 Amazon Haul-Store für absolute Schnäppchenjäger!
- ★ 23-stufiges KI-Go-Training – Für Spieler mit Grundkenntnissen der Regeln – Entwickelt als intelligenter Trainingspartner passt sich die KI Spielern von 18K bis 9D an. Ideal für alle, die die Grundregeln bereits beherrschen und ihr Spiel verbessern möchten.
- IHR EMOTIONALER AI-BEGLEITER: Eiliko ist mehr als nur ein Anhänger, es ist ein charismatischer KI-Freund. Mit einem dynamischen LED-Bildschirm, der eine Vielzahl von animierten Gesichtern und Ausdrucksformen anzeigt, reagiert er auf Ihre Interaktionen mit einzigartiger Persönlichkeit und Charme.
- 【MEHR LEBEN FÜR DEINEN SCHREIBTISCH】 Lerne Eilik kennen – deinen kleinen Roboter-Freund mit Persönlichkeit. Mit liebevollen Animationen, ausdrucksstarken Reaktionen und spielerischen Interaktionen bringt Eilik mehr Freude in deinen Alltag. Ob auf dem Schreibtisch, im Büro oder am Nachttisch – Eilik wird schnell zu einem vertrauten Begleiter für besondere Momente.
- 【XL-Größe für gedeihende Pflanzen】Geben Sie Ihren Pflanzen den Raum, den sie verdienen! Unser verbessertes, großes 13,7 cm großes Design bietet Platz für Pflanzen mit einem Durchmesser von bis zu 8,9 cm und damit deutlich mehr Platz für Wurzelwachstum und Pflanzengesundheit im Vergleich zu kleineren, veralteten Modellen. Die Produktabmessungen betragen 13,6 x 13,6 x 13,2 cm und das Gerät wiegt nur 355 g.
- V28 Update - JETZT MIT NEUEN FUNKTIONEN! Als Reaktion auf das Ladeproblem von Loona haben wir das automatische Aufladen 2.0 verbessert. Diese Optimierung hilft Loona, die Ladewege in verschiedenen Szenarien zu erkennen und anzupassen, um die Erfolgsquote beim automatischen Aufladen zu erhöhen. Mobile Hotspots können sich mit Loona verbinden und überwinden WLAN-Einschränkungen, sodass Sie jederzeit und überall mit Loona interagieren können.
- Die besten Bücher rund um KI & Robotik!
- Die besten KI-News kostenlos per eMail erhalten!
- Zur Startseite von IT BOLTWISE® für aktuelle KI-News!
- IT BOLTWISE® kostenlos auf Patreon unterstützen!
- Aktuelle KI-Jobs auf StepStone finden und bewerben!
- Künstliche Intelligenz: Dem Menschen überlegen – wie KI uns rettet und bedroht | Der Neurowissenschaftler, Psychiater und SPIEGEL-Bestsellerautor von »Digitale Demenz«
Du hast einen wertvollen Beitrag oder Kommentar zum Artikel "Plex fordert sofortiges Update: mehrere Security-Lücken in Server und Desktop" für unsere Leser?
#Sophos
#AmazonPrime
#Bestseller
Es werden alle Kommentare moderiert!
Für eine offene Diskussion behalten wir uns vor, jeden Kommentar zu löschen, der nicht direkt auf das Thema abzielt oder nur den Zweck hat, Leser oder Autoren herabzuwürdigen.
Wir möchten, dass respektvoll miteinander kommuniziert wird, so als ob die Diskussion mit real anwesenden Personen geführt wird. Dies machen wir für den Großteil unserer Leser, der sachlich und konstruktiv über ein Thema sprechen möchte.
Du willst nichts verpassen?
Du möchtest über ähnliche News und Beiträge wie "Plex fordert sofortiges Update: mehrere Security-Lücken in Server und Desktop" informiert werden? Neben der E-Mail-Benachrichtigung habt ihr auch die Möglichkeit, den Feed dieses Beitrags zu abonnieren. Wer natürlich alles lesen möchte, der sollte den RSS-Hauptfeed oder IT BOLTWISE® bei Google News wie auch bei Bing News abonnieren.
Nutze die Google-Suchmaschine für eine weitere Themenrecherche: »Plex fordert sofortiges Update: mehrere Security-Lücken in Server und Desktop« bei Google Deutschland suchen, bei Bing oder Google News!