- Cosa può fare
- L'attaccante raggiunge Plex da Internet, ottiene il token di amministrazione e fa eseguire programmi propri sul NAS con i privilegi del servizio Plex. Nei casi osservati ha installato software per minare criptovalute e programmi proxy.
- Cosa mette in pericolo
- Il NAS e i dati che contiene, le sue risorse (rallentamenti, consumi) e la rete interna a cui è collegato. L'aggiornamento da solo non rimuove ciò che l'attaccante ha già installato.
- Chi è colpito
- Plex Media Server 1.43.2 e precedenti (versioni precedenti alla 1.43.3.10861), anche installato su NAS QNAP. QTS e QuTS hero non sono colpiti direttamente.
Cosa fare
- Aggiornare Plex Media Server alla versione 1.43.3.10861 o successiva, da App Center > My Apps sul NAS QNAP.
- Verificare la versione installata in Plex Web > Impostazioni > Generale.
- Disattivare l'accesso remoto di Plex e togliere l'inoltro della porta 32400 (e UPnP) dal router; per l'accesso da fuori usare una VPN.
- Se Plex era raggiungibile da Internet con la versione 1.43.2 o precedente, considerare il NAS potenzialmente compromesso: controllare la procedura di verifica e pulizia indicata da QNAP e reinstallare in modo pulito.
- Cambiare le password di Plex e del NAS e controllare consumi anomali di CPU e traffico verso destinazioni sconosciute.
- Se serve verifica da parte di QNAP, conservare la cartella dei log di Plex prima di rimuovere l'applicazione.
- Tenere aggiornati anche QTS o QuTS hero e tutte le app installate sul NAS.
6 novembre 2026: QNAP conferma segnalazioni di NAS compromessi tramite Plex2Shell. Il codice dimostrativo è pubblico dal 16 ottobre; CISA ha inserito le quattro CVE nel catalogo KEV a fine ottobre.