QNAP warnt: Plex2Shell hat bereits NAS mit Plex kompromittiert — jetzt auf 1.43.3 aktualisieren

QNAP hat am 6. November 2026 eine Sicherheitsmitteilung zu Plex2Shell veröffentlicht, einer Gruppe von vier Schwachstellen in Plex Media Server, die laut Plex selbst im Internet aktiv und breitflächig ausgenutzt wird. Das Unternehmen gibt an, Meldungen von Nutzern erhalten zu haben, deren NAS über diese Schwachstellen offenbar kompromittiert wurden — und rät dazu, die App sofort zu aktualisieren.

Was ist Plex2Shell?

Plex hat vier Schwachstellen in Plex Media Server 1.43.2 und älteren Versionen offengelegt — CVE-2026-96652, CVE-2026-96654, CVE-2026-96655 und CVE-2026-96656 — gemeinsam bekannt als Plex2Shell. Jede einzelne stellt nur ein begrenztes Risiko dar, doch in Kombination ermöglichen sie einem nicht authentifizierten Angreifer aus der Ferne, beliebigen Code mit den Rechten des Plex-Media-Server-Prozesses auszuführen.

Laut Plex wurde am 16. Oktober ein öffentlicher Proof of Concept veröffentlicht, und internetzugängliche Server, die nicht aktualisiert wurden, waren seitdem breitflächigen Angriffen ausgesetzt. Kompromittierte Server wurden genutzt, um Kryptowährungs-Miner und Proxy-Software zu betreiben, die den Traffic Dritter über die Verbindung des Opfers leitet. Die US-Behörde CISA hat alle vier Schwachstellen am 20. Oktober 2026 in ihren Katalog bekanntermaßen ausgenutzter Schwachstellen (KEV) aufgenommen.

Was QNAP beobachtet hat

QNAP gibt an, Meldungen einiger Nutzer erhalten zu haben, wonach Plex Media Server auf ihrem NAS über diese Schwachstellen offenbar kompromittiert wurde, und dass der technische Support den Betroffenen hilft. Das Incident-Response-Team von QNAP (QNAP PSIRT) bestätigte, dass die Schwachstellen nur in Plex Media Server existieren: Die Betriebssysteme QTS und QuTS hero sind nicht betroffen.

Was jetzt zu tun ist

  • Jetzt aktualisieren: Öffnen Sie auf dem NAS App Center > My Apps und aktualisieren Sie Plex Media Server auf Version 1.43.3 oder neuer. Prüfen Sie anschließend in Plex Web unter Settings > General, ob die installierte Version 1.43.3.10861 oder neuer ist.
  • War Plex aus dem Internet erreichbar, behandeln Sie das NAS als potenziell kompromittiert: Wenn der Server Version 1.43.2 oder älter mit aktiviertem Fernzugriff betrieb — etwa mit eingeschaltetem Plex-Fernzugriff, weitergeleitetem Port 32400 oder per UPnP automatisch geöffnetem Port —, entfernt ein Update allein nichts, was ein Angreifer möglicherweise installiert hat. QNAP rät, der offiziellen FAQ zur Prüfung und Behebung zu folgen, eine saubere Neuinstallation vorzunehmen, auf Anzeichen einer Kompromittierung zu prüfen und die Zugangsdaten von Plex und NAS zurückzusetzen.
  • Angriffsfläche verringern: Wenn Sie keinen Fernzugriff auf Plex benötigen, deaktivieren Sie ihn und leiten Sie Port 32400 nicht weiter. Falls doch, nutzen Sie stattdessen ein VPN. Halten Sie QTS oder QuTS hero sowie alle installierten Apps auf dem neuesten Stand.

Quellen

Bildnachweis: Logo von Plex Media Server, von Plex, Inc., via Wikimedia Commons.

Transparenz: Dieser Artikel wurde mithilfe künstlicher Intelligenz erstellt, auf Grundlage der offiziellen Mitteilung von QNAP, der Ankündigung von Plex und öffentlicher Beiträge im Internet. Bitte prüfen Sie vor dem Handeln die oben aufgeführten Originalquellen.

Von Muse