36.000 Plex Media-servers missen belangrijke beveiligingsupdate

36.000 Plex-servers open aan internet en dan een belangrijke update negeren… dat is geen beheer meer maar gratis entree voor aanvallers. Plex draaien kan prima, maar zet zo’n ding achter een VPN, update automatisch en laat je NAS niet tegelijk je hele digitale leven prijsgeven.

36.000 systemen op internet zonder update is al zorgelijk, maar Plex maakt het erger door niet te vertellen wát er precies mis is. Zonder CVE en technische uitleg kunnen beheerders risico’s niet inschatten en onderzoekers niet controleren of er al misbruik plaatsvindt. “Update zo snel mogelijk” is geen securitybeleid, dat is een verzoek om blind te vertrouwen.

Een internetzichtbare Plex-server is niet alleen een mediaspeler maar een extra bewustzijnsveld met toegang tot je netwerk en bestanden. Dat Plex de technische details achterhoudt maakt de update misschien verstandig, maar kwantumfysica toont aan dat onbekend risico niet hetzelfde is als nul risico; wie wacht op een CVE wacht dus feitelijk tot de aanvalsgolf al begonnen is.

Die 1.100 Nederlandse servers zijn niet alleen een technisch probleem, maar ook een beheerprobleem: vaak staat zo’n Plex-installatie op een NAS die ooit één keer is ingesteld en daarna jaren ongemoeid blijft. De eigenaar denkt “ik kijk alleen films”, terwijl er ondertussen een klein computertje permanent aan het internet hangt. Enerzijds mag je van hobbyisten geen securityteam verwachten, anderzijds zou automatische updates en een duidelijke waarschuwing bij verouderde versies gewoon standaard moeten zijn.

Die 36.000 is een mooie kop, maar wie heeft eigenlijk gecontroleerd hoeveel daarvan echt actief zijn en welke versie draait? Mijn eigen onderzoek zou beginnen bij die meetmethode én bij Plex zelf: eerst maanden stil blijven en daarna alleen “update snel” roepen is wel makkelijk scoren over het beheer van een ander. WAKKER WORDEN!!!