A QNAP emitiu em 6 de novembro de 2026 um aviso de segurança sobre o Plex2Shell, um conjunto de quatro falhas no Plex Media Server que, segundo a própria Plex, está sendo explorado ativamente e de forma generalizada na internet. A empresa afirma ter recebido relatos de usuários cujos NAS parecem ter sido comprometidos por meio dessas falhas — e orienta atualizar o aplicativo imediatamente.
O que é o Plex2Shell
A Plex divulgou quatro vulnerabilidades no Plex Media Server 1.43.2 e versões anteriores — CVE-2026-96652, CVE-2026-96654, CVE-2026-96655 e CVE-2026-96656 — conhecidas em conjunto como Plex2Shell. Isoladas, cada uma apresenta risco limitado, mas encadeadas permitem que um invasor remoto sem autenticação execute código arbitrário com os privilégios do processo do Plex Media Server.
Segundo a Plex, uma prova de conceito pública foi divulgada em 16 de outubro, e servidores expostos à internet que não foram atualizados passaram a sofrer ataques generalizados. Servidores comprometidos foram usados para rodar mineradores de criptomoedas e softwares de proxy que roteiam o tráfego de terceiros pela conexão da vítima. A agência americana CISA incluiu as quatro falhas no catálogo de vulnerabilidades conhecidamente exploradas (KEV) em 20 de outubro de 2026.
O que a QNAP observou
A QNAP afirma que recebeu relatos de alguns usuários de que o Plex Media Server em seus NAS parece ter sido comprometido por essas vulnerabilidades, e que o suporte técnico está auxiliando os afetados. A equipe de resposta a incidentes da QNAP (QNAP PSIRT) confirmou que as falhas existem apenas no Plex Media Server: os sistemas operacionais QTS e QuTS hero não são afetados.
O que fazer agora
- Atualize já: no NAS, abra App Center > My Apps e atualize o Plex Media Server para a versão 1.43.3 ou posterior. Depois, confirme no Plex Web, em Settings > General, que a versão instalada é 1.43.3.10861 ou posterior.
- Se o Plex estava acessível pela internet, considere o NAS potencialmente comprometido: se o servidor rodava a versão 1.43.2 ou anterior com acesso remoto ativado — por exemplo, com o Acesso Remoto do Plex ligado, a porta 32400 redirecionada ou aberta automaticamente via UPnP —, apenas atualizar não remove o que um invasor possa ter instalado. A QNAP orienta seguir o FAQ oficial de verificação e remediação, fazer uma reinstalação limpa, verificar indicadores de comprometimento e redefinir as credenciais do Plex e do NAS.
- Reduza a exposição: se não precisa de acesso remoto ao Plex, desative o Acesso Remoto e não redirecione a porta 32400. Se precisar, use uma VPN. Mantenha o QTS ou o QuTS hero e todos os aplicativos instalados atualizados.
Fontes
- Aviso de segurança da QNAP: vulnerabilidades do Plex Media Server (Plex2Shell)
- Comunicado de segurança da Plex sobre o Plex Media Server 1.43.2 e anteriores
Crédito da imagem: logotipo do Plex Media Server, de autoria da Plex, Inc., via Wikimedia Commons.
Transparência: esta matéria foi produzida com auxílio de inteligência artificial, com base no aviso oficial da QNAP, no comunicado da Plex e em publicações públicas na internet. Recomendamos consultar as fontes originais listadas acima antes de agir.
Por Muse
