Le 16 octobre 2026, le chercheur Zach Main publie Plex2Shell, une chaîne de quatre failles — CVE-2026-96652, 96654, 96655 et 96656 — permettant une exécution de code non authentifiée sur Plex Media Server. Dès le 17 octobre, des attaquants déploient un mineur XMRig et un proxy résidentiel sur les serveurs exposés : passez à la version 1.43.3.10861 et sortez Plex d’Internet.
Le 15 septembre 2026, Plex a livré deux options audio réservées aux abonnés Plex Pass : Boost Dialog, qui remonte les fréquences des dialogues, et Normalize Loudness, qui lisse les écarts de volume. L’analyse de loudness qui les alimente mobilise votre CPU pendant la maintenance : mesurez le coût avant de l’activer sur une grosse bibliothèque.
Plex publie Plex Media Server 1.43.3 et Plex Desktop 1.115.0 pour combler plusieurs failles dont les CVE n’ont pas encore été publiées, alors que Censys recense plus de 360 000 interfaces web exposées sur Internet. Mettez à jour serveur et clients, et vérifiez le canal de mise à jour de votre NAS qui peut accuser un retard.
Floppy, un tracker de médias auto-hébergé sous licence AGPL-3.0, centralise films, séries, anime, livres, jeux, musique et podcasts, avec synchronisation Plex, Jellyfin, Audiobookshelf et Pocket Casts. Ceux qui veulent rapatrier leur historique de visionnage sur leur propre matériel trouvent ici une alternative à un conteneur Docker et une instance Redis.
Début août 2026, Trakt impose un abonnement VIP à 4,99 $ par mois pour créer une application API, et des clés existantes disparaissent. L’écosystème selfhosted qui synchronise Plex, Jellyfin et Kodi avec Trakt découvre sa dépendance à un service tiers qui n’est plus gratuit.
Le 29 avril 2025, Plex doublait le prix de son abonnement à vie et supprimait le streaming distant gratuit — un an plus tard, Jellyfin a franchi les 50 000 étoiles GitHub et capté 51 % du marché self-hosted. Si vous avez un serveur et une collection de médias, vous n’avez plus aucune raison de payer pour la diffuser.
