Plex khuyến cáo người dùng cập nhật khẩn cấp sau khi vá nhiều lỗ hổng bảo mật

Plex, dịch vụ truyền phát đa phương tiện phổ biến, vừa đưa ra thông báo khẩn cấp yêu cầu người dùng cập nhật hệ thống lên phiên bản mới nhất. Động thái này diễn ra sau khi hãng phát hành các bản vá cho nhiều lỗ hổng bảo mật nghiêm trọng.

Cụ thể, các bản vá đã được tích hợp trong Plex Media Server 1.43.3 và Plex Desktop 1.115.0. Mặc dù Plex chưa công bố chi tiết kỹ thuật về các lỗ hổng này, hãng xác nhận đã yêu cầu cấp mã định danh CVE cho các lỗi đã được xử lý.

“Chúng tôi khuyến nghị tất cả chủ sở hữu server và người dùng ứng dụng Desktop hãy cập nhật lên phiên bản mới nhất càng sớm càng tốt,” Plex nhấn mạnh trong thông báo. Đối với người dùng chạy Plex Media Server trên các thiết bị NAS, nếu bản cập nhật chưa xuất hiện trong trình quản lý gói (package manager), người dùng có thể thực hiện cài đặt thủ công để đảm bảo an toàn.

Trong quá khứ, Plex từng đối mặt với các vấn đề bảo mật đáng chú ý. Đáng kể nhất là vào tháng 8/2025, hãng đã phải xử lý một lỗ hổng xác thực nghiêm trọng (CVE-2025-34158) cho phép kẻ tấn công khai thác endpoint /myplex/account để lộ thông tin tài khoản và token quản trị của chủ sở hữu server. Việc kết hợp các lỗ hổng API này có thể tạo thành một chuỗi exploit giúp kẻ tấn công khám phá toàn bộ hạ tầng Plex của nạn nhân.

Dữ liệu từ Censys cho thấy hiện có hơn 360.000 thiết bị đang phơi bày giao diện web của Plex Media Server trên internet. Dù không phải tất cả đều bị ảnh hưởng, nhưng việc duy trì phiên bản phần mềm mới nhất là biện pháp phòng vệ thiết yếu trước các nguy cơ tấn công mạng ngày càng tinh vi.

Nguồn tham khảo: The Hacker News