Aanvallers maken misbruik van Plex2Shell-kwetsbaarheden om Plex Media Server op QNAP NAS te compromitteren zonder geldige inloggegevens.
Cybercriminelen maken gebruik van de Plex2Shell-kwetsbaarheden om in te breken op Plex Media Server-applicaties die draaien op QNAP NAS-apparaten, waarschuwt de Taiwanese fabrikant QNAP. Plex2Shell betreft een keten van vier kwetsbaarheden (CVE-2026-96652, CVE-2026-96654, CVE-2026-96655 en CVE-2026-96656) in Plex Media Server, die deze zomer al zijn gepatcht. Sinds half oktober wordt deze kwetsbaarhedenketen op grote schaal uitgebuit, nadat technische details en proof-of-concept code openbaar werden gemaakt.
Succesvolle exploitatie van Plex2Shell vereist geen geldige gebruikerscredentials en stelt aanvallers in staat om willekeurige code uit te voeren op de getroffen servers met de rechten van de Plex-service. Plex Media Server is beschikbaar als een applicatie van derden via het officiële App Center voor QNAP NAS-gebruikers. QNAP heeft meldingen ontvangen van gebruikers bij wie Plex Media Server op hun NAS via deze kwetsbaarheden is gecompromitteerd, aldus het bedrijf in een veiligheidswaarschuwing.
Het technische ondersteuningsteam van QNAP helpt getroffen gebruikers en bevestigt dat er geen dataverlies heeft plaatsgevonden. De QNAP Product Security Incident Response Team (PSIRT) stelt dat de kwetsbaarheden uitsluitend in Plex Media Server aanwezig zijn; de QNAP-besturingssystemen QTS en QuTS hero en andere QNAP-software zijn niet kwetsbaar. QNAP adviseert gebruikers dringend om zo snel mogelijk te updaten naar Plex Media Server versie 1.43.3 of hoger.
Voor apparaten die via internet toegankelijk zijn, moet worden uitgegaan van mogelijke compromittering. Plex dient dan opnieuw te worden geïnstalleerd en de wachtwoorden van zowel Plex als het NAS-apparaat moeten direct worden gewijzigd. Indien geen externe toegang tot Plex nodig is, wordt aanbevolen om Plex Remote Access uit te schakelen en poort 32400 niet door te sturen. Voor externe toegang adviseert QNAP het gebruik van een VPN. Daarnaast moeten QTS, QuTS hero en alle geïnstalleerde apps up-to-date worden gehouden.
QNAP heeft een stapsgewijze handleiding gepubliceerd om gebruikers te ondersteunen bij het identificeren en verhelpen van mogelijke compromitteringen.
