Plexが複数のセキュリティ脆弱性を修正、メディアサーバーとデスクトップ版の即時アップデートを呼びかけ

要点

• メディアストリーミングサービスのPlexが、複数の未公開セキュリティ脆弱性を修正した最新アップデートを公開した。

• 修正プログラムは「Plex Media Server 1.43.3」および「Plex Desktop 1.115.0」として提供されており、各問題に対してCVE識別子の割り当てが申請されている。

• NAS環境ではパッケージ管理ツールへの反映が遅れる可能性があるため、公式サイトからの手動インストールが推奨されている。

• インターネット上には36万台以上のサーバーが露出していることが確認されており、過去には認証バグや大規模侵害の侵入経路となった事例もある。

• メディアストリーミングプラットフォームを手がけるPlexは、複数のセキュリティ脆弱性を修正したソフトウェアの最新版をリリースし、すべてのサーバー管理者およびデスクトップアプリの利用者に対して直ちにアップデートを適用するよう呼びかけた。

• 修正版として提供されているのは、サーバー向けソフトウェアの「Plex Media Server 1.43.3」およびクライアントアプリの「Plex Desktop 1.115.0」だ。今回の更新において、Plex側は脆弱性の具体的な技術内容については詳細を明らかにしていないものの、それぞれの問題に対して共通脆弱性識別子であるCVE（Common Vulnerabilities and Exposures）の割り当てを要請済みであると説明している。

未公開の脆弱性を修正、NAS環境では手動インストールを案内

Plexは公式フォーラムのアナウンスを通じ、「すべてのサーバー所有者およびデスクトップ版の利用者に対し、できる限り速やかに最新バージョンへアップデートすることを推奨する」と表明した。

あわせて同社は、NAS（Network Attached Storage：ネットワークに直接接続して共有利用するストレージ機器）上でPlex Media Serverを運用しているユーザーに向けて注意を促している。NASに標準搭載されているパッケージ管理機能では最新版の配信が反映されるまでに時間がかかる場合があるため、自動更新を待つのではなく、公式サイトから提供されている更新パッケージを直接ダウンロードして手動で適用するよう案内している。

36万台以上のサーバーが外部に露出、2025年にも深刻な認証不具合

Plex Media Serverは個人向けのメディア管理から広範なストリーミング用途まで幅広く利用されているが、外部公開される設定によって潜在的なリスクを抱えやすい側面がある。脅威インテリジェンスプラットフォームのCensysが公開しているデータによると、Plex Media ServerのWebインターフェースをインターネット上に公開しているデバイスは全世界で36万台以上にのぼるという。これらのすべてに今回の脆弱性が存在しているわけではないものの、多くのサーバーが外部からアクセス可能な状態に置かれている実態が示されている。

Plexでは過去にも深刻なセキュリティ上の欠陥が報告されてきた。2025年8月には、共通脆弱性評価システムCVSS（Common Vulnerability Scoring System）のスコアで8.5（高深刻度）と判定された認証の不具合（CVE-2025-34158）への対処が行われている。

この不具合は、サーバーの「/myplex/account」エンドポイントにアクセスした際、管理者権限を持たない一般の認証ユーザーに対しても、サーバー所有者の管理者アクセストークンを含むアカウント情報が誤って露出してしまうというものだった。さらに、取得した情報をもとに「/api/resources」APIを呼び出すことで、その所有者がアクセス権を持つ他のサーバー群まで特定できてしまう仕組みになっていた。これら2つのAPI呼び出しを組み合わせることで、所有者のインフラ全体を探索・特定できるエクスプロイトチェーン（連続的な脆弱性悪用手法）が成立する危険性があったと報告されている。

過去にはDoS攻撃への悪用やLastPass侵害の侵入経路にも

Plex Media Serverに存在する脆弱性は、これまでにもサイバー攻撃者によって標的とされてきた経緯がある。

2021年2月には、Plexサーバーが悪用されてUDPパケットを標的へ「反射」させ、サービス妨害攻撃であるDoS（Denial of Service）の通信量を増幅させるSSDPリフレクション攻撃の踏み台にされる問題が判明した。Plexはこの問題に対処するため、バージョン1.21.3.4014以降の修正版をリリースし、パブリックなインターネット（WAN）からのUDPリクエストを遮断してローカルネットワーク（LAN）内からの通信のみに応答するよう仕様を変更した。

さらに、2022年8月に発生した大手パスワード管理サービス「LastPass」への不正アクセス事件においても、Plexの脆弱性が関与していたことが明らかになっている。当時の調査報告によると、攻撃者は従業員の自宅PCで稼働していたPlex Media Serverの既知の脆弱性（CVE-2020-5741、CVSSスコア7.2）を突いて端末に侵入し、キーロガー（キーボード入力を不正に記録するマルウェア）を仕掛けることで認証情報を奪取したとされている。

Plexは今回のアップデートに含まれる各脆弱性の詳細な攻撃手法については明かしていないが、過去の悪用実績やインターネット上に公開されている端末の規模を踏まえ、安全確保のための速やかなパッチ適用を促している。