QNAP Plex: обновление Plex Media Server требуется из-за уязвимостей Plex2Shell

QNAP 6 ноября 2026 года выпустила официальное уведомление о цепочке уязвимостей Plex2Shell в стороннем приложении Plex Media Server версий 1.43.2 и ниже. Уязвимости позволяют неаутентифицированному удалённому злоумышленнику выполнить произвольный код с привилегиями процесса Plex на устройствах QNAP NAS.

Подробности уязвимостей Plex2Shell и хронология атак

Уязвимости зарегистрированы под идентификаторами CVE-2026-96652, CVE-2026-96654, CVE-2026-96655 и CVE-2026-96656. Полный proof-of-concept опубликовали 16 октября 2026 года, а уже 19 октября Plex подтвердила начало активных атак. CISA 20 октября включила все четыре CVE в каталог Known Exploited Vulnerabilities.

QNAP получила от пользователей отчёты о предполагаемых компрометациях NAS. Злоумышленники использовали скомпрометированные серверы для запуска криптомайнеров и прокси-программ. Операционная система QTS и QuTS hero, а также сама платформа QNAP не пострадали — проблема затрагивает только приложение Plex Media Server.

Исследователь Zach Main обнаружил уязвимости и сообщил о них Plex 27 июля 2026 года. Атаки носят массовый характер, а QNAP PSIRT подчёркивает, что угроза ограничена именно сторонним медиа-сервером.

Как обновить Plex Media Server и проверить NAS

Исправленная версия Plex Media Server 1.43.3 (сборка 1.43.3.10861 и новее) доступна в QNAP App Center. Пользователям рекомендуется открыть раздел My Apps, найти Plex и выполнить обновление. После установки нужно подтвердить версию в веб-интерфейсе Plex через Settings → General.

Если Plex был доступен из интернета на уязвимой версии, QNAP советует считать NAS потенциально скомпрометированным. Обновление само по себе не удаляет уже установленные импланты. В таком случае необходимо выполнить чистую переустановку приложения, проверить наличие неизвестных процессов и подозрительных файлов в папке Codecs, а также проанализировать исходящие соединения на известные адреса командных серверов.

Дополнительно QNAP рекомендует сбросить учётные данные Plex и NAS, отключить удалённый доступ по порту 32400. Компания продолжает мониторить ситуацию и будет публиковать обновления по мере поступления новой информации от Plex. Пользователям следует регулярно проверять App Center и официальные уведомления QNAP.

Что происходит дальше и значение для рынка кибербезопасности NAS

QNAP PSIRT подтверждает, что проблемы касаются исключительно Plex Media Server, а не базовой прошивки устройств. Это разграничение важно для администраторов, которые используют NAS только для хранения данных без медиа-сервисов.

Событие подчёркивает риски использования сторонних приложений на сетевых хранилищах. Пользователи в России и странах СНГ, эксплуатирующие QNAP NAS с Plex, получают прямое указание на необходимость действий в ближайшие дни. Компания продолжит обновлять уведомление по мере появления новых данных от разработчиков Plex.