Plex、Media ServerとDesktopの脆弱性を修正　1.43.2以前は早急に更新、CVEと詳細は後日公開へ

Plexは2026年9月1日、Plex Media ServerとPlex Desktopに存在する複数のセキュリティ問題を修正したとして、利用者に早急なアップデートを呼びかけました。

修正版はPlex Media Server 1.43.3、Plex Desktop 1.115.0です。Plexは公式フォーラムで、Plex Media Server 1.43.2以前を利用しているサーバー管理者とDesktop利用者に対し、最新バージョンへ更新するよう推奨しています。

一方、今回修正された脆弱性の技術的な内容はまだ公表されていません。CVE番号は申請済みで、Plexは公開後に追加情報を案内するとしています。

そのため現時点では、リモートコード実行、認証回避、権限昇格、情報漏えいといった具体的な影響を断定することはできません。実際の攻撃で悪用されているか、PoCが公開されているかについても、Plex公式から情報は示されていません。

Plex Media Serverは自宅や組織内のNAS、Windows、macOS、Linux、Dockerなどで運用され、リモートアクセスのため外部公開されるケースもあります。脆弱性の詳細が明らかになっていない段階でも、Plexが「as soon as possible」と明示して更新を求めていることから、対象環境ではバージョン確認を優先すべきです。

Plexのセキュリティアップデートのサマリー

• 【確認済み】Plexは2026年9月1日、複数のセキュリティ問題を修正したと公表しました。
• 【確認済み】Plex Media Server 1.43.2以前が今回のセキュリティ告知の対象です。
• 【確認済み】Plex Media Serverの修正版は1.43.3以降です。
• 【確認済み】Plex Desktopの修正版は1.115.0です。
• 【確認済み】Plexはサーバー管理者とDesktop利用者に、できるだけ早く最新版へ更新するよう求めています。
• 【確認済み】複数のCVEが申請されています。
• 【確認済み】CVE番号や技術詳細は9月3日時点で未公表です。
• 【確認できず】脆弱性の種類、攻撃条件、CVSS、影響範囲の詳細は明らかにされていません。
• 【確認できず】リモートコード実行、認証回避、情報漏えいなどの具体的な影響は現時点で断定できません。
• 【確認できず】実際の攻撃で悪用されているとの公式発表はありません。
• 【確認できず】PoC公開の有無は公式情報から確認できません。
• 【確認済み】NASではベンダーのパッケージ管理画面に1.43.3がまだ表示されない場合があり、Plexは公式パッケージを使った手動更新方法を案内しています。
• 【確認済み】Windows、macOS、Linux、Docker、NAS、NVIDIA Shieldについて更新方法が案内されています。
• 【確認済み】CVEの詳細は公開後、Plexが公式告知へ追記する予定です。

項目	内容
公表日	2026年9月1日
ベンダー	Plex
対象製品	Plex Media Server、Plex Desktop
Plex Media Server影響バージョン	1.43.2以前
Plex Media Server修正版	1.43.3以降
Plex Desktop修正版	1.115.0
脆弱性件数	複数。正確な件数は未公表
CVE	申請済み、9月3日時点で番号未公表
CVSS	確認できませんでした
脆弱性の種類	確認できませんでした
実悪用	公式確認なし
PoC	公式確認なし
CISA KEV	CVE未公表のため現時点では判定不可
対応	最新版へ早急に更新
NAS利用者	パッケージマネージャーに更新がない場合は手動更新を検討

Plexが「できるだけ早く」更新を呼びかけ

Plexは公式フォーラムの「Important Security Update for Plex Media Server v1.43.2 and earlier」で、Plex Media Server 1.43.3とPlex Desktop 1.115.0を最近リリースし、複数のセキュリティ問題に対応したと説明しています。

そのうえで、すべてのPlex Media Server管理者とPlex Desktop利用者に対し、最新バージョンへできるだけ早く更新するよう推奨しています。

現時点では脆弱性の詳細が公開されていないため、どの程度の緊急性を持つ問題なのかをCVSSなどから判断することはできません。

ただし、通常の機能修正とは別に「Important Security Update」として告知し、利用者へ個別メールでも更新を促していることから、対象バージョンを継続利用する理由はありません。

Plex Media Server 1.43.2以前が対象

Plexが明示している対象はPlex Media Server 1.43.2以前です。

修正版は1.43.3以降となります。

Plex Media Server 1.43.3は2026年中にリリースされており、現在1.43.2以前を利用している環境では、単に自動更新が有効になっているかを見るだけではなく、実際の稼働バージョンを確認する必要があります。

WindowsとmacOSでは、自動更新を有効にしている場合でも、Plexは1.43.3以降になっていることを確認するよう案内しています。

手動更新する場合は、Plex公式のダウンロードページから最新パッケージを取得できます。

Plex Desktopは1.115.0へ更新

Plex Desktopについては、1.115.0が今回のセキュリティ修正版として案内されています。

ただし、Plexの9月1日付告知では、Plex Desktopについて「何版以前が影響するか」という明確な下限・上限は示されていません。

したがって、Plex Desktopについて「1.114.x以前すべてが脆弱」などと断定することは避ける必要があります。

利用者側では、1.115.0以上へ更新されていることを確認するのが適切です。

CVE番号と技術詳細はまだ非公表

今回の告知で最も重要な未確定事項は、脆弱性の中身です。

PlexはCVEを申請済みで、番号が公開された段階で公式スレッドに詳細を追記すると説明しています。

9月3日時点で、Plexの公式告知には以下の情報がありません。

• CVE番号
• 脆弱性の正確な件数
• CWE
• CVSS
• 攻撃に認証が必要か
• ネットワーク経由で悪用可能か
• ユーザー操作が必要か
• リモートコード実行につながるか
• 認証回避につながるか
• 情報漏えいにつながるか
• 権限昇格につながるか

脆弱性の種類が分からない段階で「重大なRCE脆弱性」「認証なしで乗っ取られる」といった表現を使う根拠はありません。

実際の攻撃での悪用も現時点では確認されず

Plexの公式告知では、今回修正された脆弱性が実際のサイバー攻撃で悪用されているとは説明されていません。

また、攻撃者によるPoCやエクスプロイトコードが公開されているとの公式情報もありません。

したがって、現時点では「実悪用あり」「ゼロデイ攻撃」と表現することはできません。

一方、修正版が配布されたことで、攻撃者や研究者が旧版と新版の差分を解析し、修正内容を特定する可能性があります。

詳細公開前であっても、パッチが存在する以上、対象環境を早期に更新しておく方が安全です。

NASではパッケージマネージャーへの反映遅延に注意

Plexは、NAS上でPlex Media Serverを利用している場合、1.43.3がNASメーカーのパッケージマネージャーへまだ反映されていない可能性があると注意しています。

その場合、Plexは公式サイトから対応するインストールパッケージを取得し、NASメーカーが提供する手動インストール機能を使う方法を案内しています。

公式告知ではQNAP、TerraMaster、Western Digital、Netgear、Synology向けの案内先も示されています。

NASではアプリストアやパッケージセンターの更新反映がベンダー側の配布タイミングに左右されるため、「更新なし」と表示されていても安全な最新版とは限りません。

Plex Media Serverの管理画面で実際のバージョンを確認し、1.43.2以前であれば対応が必要です。

Docker環境もイメージ更新だけでなく稼働版を確認

Plex Media ServerはDockerで運用されることもあります。

PlexはDocker利用者に対し、公式のpms-dockerリポジトリを参照するよう案内しています。

コンテナ環境では、イメージを取得済みでも、古いコンテナがそのまま稼働している場合があります。

そのため、

• 使用しているイメージの更新
• コンテナの再作成
• 再起動後のPlex Media Serverバージョン確認

まで実施する必要があります。

単にコンテナレジストリ側に最新版が存在するだけでは、稼働環境の更新にはなりません。

インターネット公開しているPlex Media Serverは優先確認

Plex Media Serverには、外部から自宅や組織内のメディアライブラリへ接続するリモートアクセス機能があります。

そのため、環境によってはインターネットからPlex Media Serverへ通信可能な状態になっています。

今回の脆弱性がネットワーク経由で悪用可能かどうかは現時点で公表されていません。

しかし、リモートアクセスを有効にしているサーバーは、外部から到達できないサーバーより攻撃面が広いため、更新確認の優先度を高くするのが適切です。

更新までの間にリモートアクセスを停止すべきかについては、Plex公式は今回の告知で暫定回避策として明示していません。

そのため「Plexがリモートアクセス無効化を推奨している」とは表現できませんが、自組織のリスクに応じて不要な外部公開を見直すことは有効です。

過去にはPlex Media Serverの脆弱性が実攻撃で悪用

今回の脆弱性について実悪用は確認されていませんが、Plex Media Serverは過去に実際の攻撃で悪用された脆弱性があります。

CVE-2020-5741はPlex Media Serverに存在したリモートコード実行につながる脆弱性で、CISAのKnown Exploited Vulnerabilities Catalogにも掲載されました。

2023年には、LastPassが2022年に発生した侵害について、従業員の自宅環境にあるサードパーティ製メディアソフトウェアの脆弱性が悪用されたと説明し、Plex Media Serverの脆弱性との関連が広く報じられました。

また、2025年にはCVE-2025-34158についてPlexが更新を呼びかけています。

今回の問題と過去のCVEは別の脆弱性ですが、個人利用を想定したメディアサーバーであっても、業務端末や企業アカウントへアクセスできるネットワーク上に置かれていれば、侵害時の影響がPlexだけに留まらない可能性があります。

情報システム部門への示唆

Plexは家庭向け用途のイメージが強い製品ですが、企業のセキュリティ管理では「業務で正式採用しているか」だけでなく、「社内端末や在宅勤務端末に存在するか」も確認対象になります。

特に在宅勤務環境では、従業員のPCやNAS上でPlex Media Serverが動作し、同じ端末からVPNやSaaS、クラウド管理画面へアクセスしているケースも考えられます。

今回の告知を受け、情報システム部門では、

• 資産管理ツールでPlex Media Serverの導入状況を確認する
• Plex Media Server 1.43.2以前が存在しないか確認する
• Plex Desktopが1.115.0以上か確認する
• NAS、Docker、個人管理端末を更新対象から漏らさない
• 不要なリモートアクセスやポート公開がないか確認する
• CVE公開後に脆弱性の種類と影響条件を再評価する

といった対応が考えられます。

現時点では脆弱性の詳細が不足しているため、侵害調査のための具体的なIOCやログ確認条件を示すことはできません。

PlexがCVE番号と詳細を公開した後、実悪用の有無、CVSS、攻撃条件、PoC公開状況、CISA KEV掲載の有無を改めて確認する必要があります。

出典

• Important Security Update for Plex Media Server v1.43.2 and earlier – Plex
• Plex Media Server Release Announcements – Plex
• Plex Media Server Downloads – Plex