Plex Media Server Sicherheitslücke: 36.000 Server angreifbar

Wer einen eigenen Plex Media Server betreibt und dessen Software schon eine Weile nicht mehr aktualisiert hat, sollte jetzt dringend handeln: Sicherheitsforscher der Non-Profit-Organisation Shadowserver haben weltweit mehr als 36.000 öffentlich erreichbare Plex-Media-Server-Instanzen entdeckt, die aufgrund mehrerer Sicherheitslücken angreifbar sind.

Was ist passiert?

Anfang September 2026 verweisen die Plex-Entwickler auf die abgesicherten Versionen Plex Media Server 1.43.3 und Plex Desktop 1.115.0 und erläutern, dass ältere Ausgaben über mehrere Schwachstellen attackierbar sind. Ein zügiges Update wird ausdrücklich empfohlen.

Betroffen sind die Plattformen Linux, macOS, Windows und NAS-Geräte. Nutzer, die ihre Installation über einen Paketmanager installiert haben, müssen unter Umständen manuell tätig werden – denn die aktualisierte Version ist möglicherweise noch nicht für alle Paketmanager verfügbar, sodass dort eine manuelle Installation nötig ist.

CVE-Nummern noch ausstehend

Was die Situation erschwert: Unklar ist bislang, um wie viele Sicherheitslücken es sich genau handelt, wie gefährlich sie nach CVSS-Einstufung sind und was Angreifer nach erfolgreichen Attacken anstellen können. Die Vergabe von CVE-Nummern steht ebenfalls noch aus – Plex hat sie nach eigenen Angaben bereits beantragt und will Details nachreichen.

Für Administratoren und Security-Teams ist das eine ungünstige Ausgangslage: Ohne CVE-Kennungen ist das Tracking über gängige Schwachstellenmanagement-Tools deutlich erschwert. Shadowserver betonte, dass das Fehlen von CVE-Bezeichnern die Nachverfolgung und Reaktion erheblich kompliziert.

Deutschland ebenfalls betroffen

Öffentliche Scans von Shadowserver zeigen fast 300.000 exponierte Plex-Instanzen weltweit, davon die meisten in den USA (134.800), gefolgt von Großbritannien (21.300), Kanada (19.500), Frankreich und Australien. Auch Deutschland ist unter den betroffenen Ländern.

Plex und Sicherheitslücken – keine Premiere

Es ist nicht das erste Mal, dass Plex im Fokus von Sicherheitsforschern steht. Im August 2025 warnte Plex seine Nutzer vor einer als CVE-2025-34158 geführten hochgradigen Schwachstelle, mit der Angreifer die Zugangsdaten eines Serverbesitzers stehlen konnten.

Noch gravierender: Die Sicherheitsbehörde CISA stufte eine ältere Plex-Sicherheitslücke (CVE-2020-5741) als aktiv ausgenutzt ein – eine Lücke, die Angreifern ermöglichte, auf dem Server schädlichen Code auszuführen. Sie wurde mutmaßlich genutzt, um den Computer eines leitenden DevOps-Ingenieurs bei LastPass zu kompromittieren, was im August 2022 zu einem massiven Datenschutzvorfall führte.

Das zeigt: Plex-Installationen sind ein attraktives Angriffsziel – insbesondere wenn sie direkt im Internet erreichbar sind. Ähnliche Risiken zeigen sich übrigens auch bei anderen vernetzten Geräten im Heimnetz, wie zuletzt bei LG Smart TVs und WebOS.

Was du jetzt tun musst

1. Sofort updaten

Aktualisiere deinen Plex Media Server auf Version 1.43.3 und den Plex Desktop Client auf 1.115.0. Die aktuellen Versionen sind auf der offiziellen Plex-Downloadseite verfügbar. Falls du einen Paketmanager verwendest, prüfe, ob die neue Version bereits bereitsteht – andernfalls installiere manuell.

2. Exponierung minimieren

Überlege, ob dein Plex-Server wirklich direkt aus dem Internet erreichbar sein muss. Wer den Server nur im Heimnetz nutzt, sollte ihn nicht unnötig öffentlich zugänglich machen. Ein VPN-Tunnel ist die deutlich sicherere Alternative für den Remote-Zugriff.

3. Netzwerkkonfiguration prüfen

Kontrolliere deine Firewall- und Router-Einstellungen. Ports, die nicht zwingend nach außen offen sein müssen, sollten geschlossen werden.

4. Automatic Updates aktivieren

Plex bietet in den Server-Einstellungen die Option, automatische Updates zu aktivieren. Das stellt sicher, dass du bei künftigen Sicherheits-Patches nicht zu lange wartest. Wer außerdem Statistiken über seine Plex-Nutzung im Blick behalten möchte, kann ergänzend Tautulli auf Proxmox oder Docker installieren.

5. Logs und Zugriffe überprüfen

Prüfe die Logs deines Servers auf verdächtige Aktivitäten – insbesondere unbekannte IP-Adressen oder Zugriffsversuche zu ungewöhnlichen Zeiten.

Starke Passwörter und Passkeys als weitere Schutzmaßnahme

Neben dem Update selbst lohnt es sich, die eigene Kontosicherheit grundsätzlich zu überdenken. Starke, einzigartige Passwörter und – wo möglich – der Einsatz von Passkeys als sicherere Passwort-Alternative sind ein wichtiger Baustein. Wer seinen Passwortmanager auf Schwachstellen überprüfen möchte, findet bei uns ebenfalls einen Überblick über aktuelle Risiken.

Fazit

Die aktuelle Sicherheitswarnung zeigt einmal mehr, wie wichtig es ist, selbst gehostete Dienste regelmäßig zu aktualisieren. Plex-Server sind aufgrund ihrer verbreiteten Nutzung ein beliebtes Ziel für Angreifer. Das Update auf Version 1.43.3 sollte deshalb nicht aufgeschoben werden – insbesondere wenn der Server über das Internet erreichbar ist. Wer zusätzlich auf eine saubere Netzwerktrennung und einen VPN-Zugang setzt, ist deutlich besser geschützt.

Letzte Aktualisierung am 10. September 2026