חולשה ב-Plex Media Server, שרת המדיה הביתי, מאפשרת למי שאינו מחובר אליו בכלל להפעיל פונקציות של תוספים שרצים בתוכו ולהעביר להן פרמטרים שהוא בוחר. הציון הוא 6.9 מתוך 10. ב-20 באוקטובר 2026 נוספה החולשה לקטלוג החולשות שנוצלו בשטח, והתיקון נמצא בגרסה 1.43.3.10861.

מה החולשה?

השרת הזה אינו תוכנה אחת. חלק מהעבודה שלו, למשל חיפוש או שליפת פרטים על סרט, נעשה בתוספים, מודולים נפרדים עם פונקציות משל עצמם שהשרת קורא להן כשהוא צריך. הפונקציות האלה נכתבו כדי שהשרת יפעיל אותן מבפנים, לא כדי שמישהו מבחוץ יפנה אליהן ישירות.

בבקשות לשרת יש פרמטר בשם searchOne שמחזיק כתובת. לפי הרשומה במאגר NVD, השרת אינו מנטרל את הערך הזה כראוי, ולכן במקום שייחשב לנתון בלבד הוא מצליח להגיע לפונקציות של תוספים אחרים, עם הפרמטרים שהשולח קבע.

דמיינו מרכזייה. אתם מתקשרים למספר הראשי ומבקשים שלוחה, ובמקום לסרב היא מחברת אותכם לכל שלוחה פנימית בבניין, גם לאלה שלא נועדו לשיחות מבחוץ.

מה שבולט בציון הוא מה שלא נדרש: אין צורך בחשבון, אין צורך להתחבר ואין צורך שמישהו יקליק על משהו. מצד שני ההשפעה מסומנת כנמוכה בסודיות ובשלמות ואפסית בזמינות. הצירוף הזה הוא ה-6.9.

במילים אחרות, זה שער ולא השתלטות.

מי מושפע?

כל מי שמריץ גרסה שקדמה לתיקון. העניין המיוחד כאן הוא דווקא בשאלה מי יכול להגיע אליכם.

כל הרעיון של השרת הזה הוא לצפות באוסף הביתי גם כשאינכם בבית, ולכן חלק גדול מהשרתים מפורסמים לאינטרנט בכוונה, דרך הגדרת גישה מרחוק או דרך הפניית פורט בנתב. חולשה שאינה דורשת התחברות רלוונטית בדיוק להם.

מי שהשרת שלו נגיש רק מתוך הרשת הביתית חשוף בהיקף צר בהרבה, אבל לא אפסי. גם אורח שהתחבר ל-WiFi של הבית נמצא באותה רשת.

האם מנוצלת בפועל?

כן. ב-20 באוקטובר 2026 נכנסה החולשה לקטלוג ה-KEV של CISA, סוכנות הסייבר האמריקאית, שמרכז חולשות שידוע עליהן שנוצלו בשטח. תאריך היעד שנקבע בו לתיקון בגופים הפדרליים האמריקאיים הוא 23 באוקטובר 2026.

לחולשה שאינה דורשת התחברות יש תכונה נוספת: אפשר לחפש אותה אוטומטית על כמות גדולה של כתובות, ולכן השאלה אינה אם מישהו בחר דווקא בכם.

מה שהקטלוג אינו אומר הוא מה נעשה עם החולשה בפועל. כדאי להחזיק גם את הקצה השני: ההשפעה של החולשה הזאת לבדה מסומנת כנמוכה, כך שהחשש אינו ממה שהיא נותנת בפני עצמה אלא ממה שהיא פותחת בשילוב עם דברים אחרים בשרת. בלוק החולשות הקשורות בתחתית העמוד מראה מה עוד נמצא באותן גרסאות.

מה עושים?

עדכנו ל-1.43.3.10861 או מעליה. מספר הגרסה שרצה אצלכם מופיע בעמוד ההגדרות של השרת, וההודעות על גרסאות חדשות מתפרסמות בשרשור הרשמי בפורום של Plex.

אם אינכם יכולים לעדכן עכשיו, צמצמו את מי שמגיע לשרת. כבו את הגישה מרחוק בהגדרות השרת, ובדקו בנתב אם יש הפניית פורט שמפרסמת אותו לאינטרנט גם בלי זה. כל עוד השרת אינו נגיש מבחוץ, הדרך לחולשה הזאת עוברת קודם דרך הרשת שלכם.

שימו לב למה שלא עוזר כאן. החלפת סיסמה אינה מועילה מול חולשה שאינה דורשת התחברות מלכתחילה, ולכן עדכון או צמצום הנגישות הם שני הצעדים שיש.

אחרי העדכון, כדאי לעבור על מי שיש לו חשבון על השרת ולהסיר שיתופים ותיקים שאינכם צריכים. זה אינו מתקן את החולשה הזאת, והוא מקטין את מה שאפשר להגיע אליו דרך השרת בכלל.