Lebih dari 36.000 Server Plex Terbuka Masih Rentan terhadap Celah Keamanan
Lebih dari 36.000 server Plex Media Server yang dapat diakses langsung dari internet masih menjalankan versi yang belum diperbarui dan rentan terhadap sejumlah celah keamanan yang baru-baru ini diungkapkan oleh Plex.
Plex sebelumnya telah mendesak pengguna untuk segera mengamankan server media mereka. Namun, pemantauan terbaru dari organisasi keamanan nonprofit Shadowserver Foundation menunjukkan bahwa puluhan ribu instalasi masih menggunakan versi yang terdampak.
Yang membuat situasi ini semakin mengkhawatirkan adalah Plex sejauh ini belum memberikan CVE ID maupun rincian teknis mengenai kerentanan tersebut.
Plex minta pengguna segera memperbarui server
Kerentanan yang dimaksud diketahui berdampak pada Plex Media Server versi 1.43.2 dan sebelumnya.
Plex telah merilis Plex Media Server 1.43.3 untuk mengatasi sejumlah masalah keamanan. Versi tersebut sebenarnya sudah tersedia sejak 19 Mei 2026, tetapi masih banyak server yang belum diperbarui.
Selain server, pengguna Plex Desktop juga disarankan memperbarui client ke versi 1.115.0, yang dirilis pada 13 Agustus 2026.
Plex menyatakan seluruh pemilik server dan pengguna Desktop sebaiknya memperbarui software ke versi terbaru sesegera mungkin.
Untuk server yang dijalankan melalui NAS, Plex memperingatkan bahwa paket versi terbaru mungkin belum tersedia melalui package manager bawaan perangkat. Dalam kondisi tersebut, pengguna dapat memasang paket Plex terbaru secara manual.
36.000 server masih terekspos ke internet
Shadowserver mulai melakukan pemindaian dan melaporkan versi Plex Media Server yang belum ditambal secara harian sejak 4 September 2026, sebagai respons terhadap peringatan keamanan Plex.
Hasil pemantauan menunjukkan lebih dari 36.000 instance Plex Media Server masih menggunakan versi rentan dan dapat diakses dari internet.
Server yang terekspos secara langsung menjadi target yang lebih menarik bagi penyerang karena tidak membutuhkan akses awal ke jaringan internal untuk mencoba mengeksploitasi layanan tersebut.
Shadowserver juga menyoroti masalah lain dalam kasus ini: belum ada CVE yang diterbitkan untuk kerentanan tersebut.
Tanpa CVE ID dan informasi teknis yang memadai, komunitas keamanan akan lebih sulit melacak, mengklasifikasikan, dan mengoordinasikan respons terhadap kerentanan yang ada.
Plex belum mengungkap detail celah
Hingga saat ini, Plex belum memberikan rincian mengenai jenis atau dampak spesifik dari kerentanan yang diperbaiki dalam versi 1.43.3.
Plex juga mengatakan bahwa permintaan CVE telah diajukan dan informasi lebih lanjut akan diberikan setelah identifier tersebut diterbitkan.
Kurangnya informasi teknis memang dapat membatasi kemampuan penyerang untuk langsung membuat exploit, tetapi juga membuat administrator lebih sulit menentukan tingkat risiko pada lingkungan mereka.
Karena patch sudah tersedia sejak beberapa bulan lalu, penyerang berpotensi melakukan reverse engineering terhadap perubahan pada versi terbaru untuk mencari celah yang telah diperbaiki dan mengembangkan exploit.
Inilah salah satu alasan Plex meminta pengguna tidak menunda proses pembaruan.
Plex pernah menghadapi kerentanan serius sebelumnya
Ini bukan pertama kalinya pengguna Plex menghadapi masalah keamanan yang dapat berdampak serius.
Pada Agustus 2025, Plex memperingatkan pengguna untuk segera menambal kerentanan berisiko tinggi yang kemudian dilacak sebagai CVE-2025-34158.
Celah tersebut dapat dimanfaatkan untuk mencuri kredensial pemilik server.
Sebelumnya, CISA juga pernah memasukkan kerentanan CVE-2020-5741 pada Plex Media Server ke dalam daftar celah yang aktif dieksploitasi.
Kerentanan tersebut merupakan masalah remote code execution (RCE) yang dapat memungkinkan penyerang membuat server menjalankan kode berbahaya.
Eksploitasi Plex pernah dikaitkan dengan insiden LastPass
CVE-2020-5741 menjadi perhatian khusus karena diduga berkaitan dengan kompromi komputer milik seorang senior DevOps engineer di LastPass.
Serangan tersebut kemudian berkontribusi pada insiden keamanan LastPass pada Agustus 2022. Penyerang berhasil mencuri kredensial dan memperoleh akses lebih jauh ke lingkungan perusahaan sebelum akhirnya mengakses data yang terkait dengan infrastruktur LastPass.
Meskipun detail lengkap mengenai eksploitasi CVE-2020-5741 tidak pernah sepenuhnya dipublikasikan oleh CISA, kasus tersebut menunjukkan bahwa server Plex yang terekspos internet dapat menjadi bagian dari rantai serangan yang lebih besar.
Plex juga pernah mengalami kebocoran data
Pada bulan yang sama dengan insiden LastPass, Plex sendiri mengumumkan data breach dan meminta pengguna melakukan reset password.
Penyerang diketahui mengakses database yang berisi informasi seperti alamat email, username, dan kredensial yang telah dienkripsi.
Meskipun kredensial tersebut tidak disimpan dalam bentuk plaintext, Plex tetap menyarankan pengguna mengambil langkah pencegahan dengan mengganti password.
Pengguna Plex sebaiknya segera mengecek versi
Dengan masih adanya lebih dari 36.000 server yang terekspos dan belum ditambal, pemilik Plex Media Server sebaiknya segera memeriksa versi yang digunakan.
Pastikan server telah diperbarui setidaknya ke:
- Plex Media Server 1.43.3
- Plex Desktop 1.115.0
Administrator yang menjalankan Plex pada NAS juga perlu memeriksa apakah package manager perangkat sudah menyediakan versi terbaru. Jika belum, paket resmi Plex dapat dipasang secara manual sesuai platform yang digunakan.
Selain memperbarui software, server Plex yang tidak perlu diakses dari internet sebaiknya tidak diekspos secara langsung. Membatasi akses melalui firewall, VPN, atau mekanisme kontrol akses lainnya dapat mengurangi permukaan serangan.
Belum adanya CVE dan rincian teknis tidak berarti kerentanan tersebut aman untuk diabaikan. Justru karena patch telah tersedia dan server yang rentan masih berjumlah puluhan ribu, administrator sebaiknya melakukan pembaruan sebelum teknik eksploitasi terhadap celah tersebut berhasil dikembangkan secara luas.
Sumber: Plex
