> ## Content Index
> Fetch the complete content index at: https://reinaldoferro.com/llms.txt
> Use this file to discover other available public pages before exploring further.

# Plex2Shell, QNAP segnala NAS compromessi: aggiornare Plex non basta a ripulire il sistema
- URL: https://reinaldoferro.com/plex2shell-qnap-segnala-nas-compromessi-aggiornare-plex-non-basta-a-ripulire-il-sistema/
- Published: 2026-11-06T21:56:03.000Z
- Updated: 2026-11-06T21:56:03.000Z
- Description: QNAP conferma segnalazioni di NAS violati tramite la catena Plex2Shell in Plex Media Server. Gli aggiornamenti correggono i bug ma non rimuovono eventuali payload già installati. QTS e QuTS hero non sono coinvolti.
- Author: Reinaldo Ferro

## Cosa è successo

QNAP ha comunicato di aver ricevuto segnalazioni da alcuni utenti, secondo cui Plex Media Server sui loro NAS sarebbe stato compromesso tramite Plex2Shell. Il supporto tecnico sta assistendo i clienti coinvolti. Plex2Shell è una catena di quattro vulnerabilità di Plex Media Server: CVE-2026-96652, CVE-2026-96654, CVE-2026-96655 e CVE-2026-96656.

Secondo il PSIRT di QNAP i difetti stanno solo in Plex Media Server. QTS, QuTS hero e gli altri sistemi operativi QNAP non sono vulnerabili in sé. Il problema riguarda quindi un'applicazione di terze parti installata dall'App Center, non il firmware del NAS.

## Perché conta

I NAS di solito contengono backup e archivi personali. Un'esecuzione di codice remota non autenticata su un servizio esposto a Internet può quindi avere conseguenze ben più gravi della semplice perdita di una libreria multimediale. QNAP raccomanda di considerare compromessi NAS e contenuti personali se il server Plex era vulnerabile ed esposto su Internet.

C'è poi un punto operativo spesso trascurato. Installare la versione corretta di Plex non elimina i payload che gli attaccanti hanno già piazzato su un dispositivo compromesso.

## Contesto

Il ricercatore Zach Main, che ha scoperto le falle, spiega che un attaccante remoto può concatenarle per ottenere esecuzione di codice remota senza autenticazione. La catena sfrutta l'accesso a funzioni interne, la divulgazione del token amministrativo del proprietario e la scrittura di un file nella cartella Codecs di Plex. Il codice viene eseguito con gli stessi privilegi del processo Plex Media Server.

Cronologia, secondo le fonti consultate:

- La segnalazione a Plex risale al 27 luglio.
- Il 16 ottobre il ricercatore ha pubblicato l'analisi tecnica insieme a una proof of concept su GitHub.
- Il 17 ottobre sono emersi i primi tentativi di sfruttamento in the wild, contro honeypot Plex, con tentativi di installare un cryptominer.
- Il 20 ottobre 2026 CISA ha inserito tutti e quattro i CVE nel catalogo KEV. Gli attacchi osservati hanno distribuito cryptominer e software proxy, che instrada il traffico di altri utenti attraverso i server compromessi.

Le versioni vulnerabili sono quelle precedenti alla build 1.43.3.10861\. QNAP indica 1.43.2 e precedenti come versioni interessate. Attenzione al numero di build completo: una fonte sottolinea che bisogna verificarlo per intero e non fermarsi alla sigla abbreviata "1.43.3".

Nei mesi scorsi si era già parlato di server Plex esposti. A settembre Shadowserver segnalava oltre 36.000 istanze esposte e non aggiornate. Quel dato riguardava però l'avviso di Plex di settembre. Come ricorda eSecurity Planet, non indica 36.000 server effettivamente attaccati e non stabilisce da solo uno sfruttamento attivo. Non va quindi letto come numero di server vulnerabili oggi.

## Cosa sappiamo e cosa no

**Confermato:**

- QNAP ha ricevuto segnalazioni di sospette compromissioni e sta assistendo gli utenti.
- I difetti sono in Plex Media Server e non nei sistemi operativi QNAP.
- I CVE indicano come affette le versioni di Plex Media Server precedenti alla build 1.43.3.10861.
- CISA considera lo sfruttamento confermato e ha inserito i CVE nel KEV.

**Non chiaro o non confermato:**

- Non risulta un numero di NAS QNAP effettivamente violati. L'azienda parla di "alcuni utenti" e di segnalazioni di sospette compromissioni.
- Non c'è un'attribuzione degli attacchi a un gruppo specifico. Le fonti consultate parlano di cryptominer e proxy, senza altro.
- Nelle fonti i dettagli minori non coincidono. La data di rilascio della patch compare come 3 agosto in alcune e come 4 agosto in altre. Anche i punteggi CVSS di un singolo CVE variano da una fonte all'altra: per CVE-2026-96655 si trovano 5.3 e 4.3\. Conviene fare riferimento ai record CVE ufficiali.
- Le fonti non sono concordi sulla data di inserimento nel KEV: 20 ottobre per la maggior parte, 21 ottobre per altre. Va probabilmente attribuita al fuso orario o alla data di pubblicazione degli articoli, ma non è verificato.

## Impatto pratico

1. **Aggiornare.** Da App Center > My Apps > Plex Media Server > Update. La versione corretta è la 1.43.3 (build 1.43.3.10861 o successive). La FAQ di QNAP elenca tra gli indicatori di compromissione processi sconosciuti avviati da Plex Media Server, con nomi come myawesomeproxy, mylovelyminer o x12345.
2. **Se il server era esposto, presumere la compromissione.** QNAP ha pubblicato una guida di rimedio passo-passo. Il bollettino prevede di cercare i segni di compromissione, reinstallare in modo pulito QTS o QuTS hero e reimpostare le credenziali di Plex e del NAS.
3. **Conservare i log prima di rimuovere Plex.** Per chiedere aiuto a QNAP nella verifica, bisogna prima copiare la cartella Logs di Plex in un'altra posizione. Poi si reinstalla dall'App Center senza ripristinare la vecchia cartella Codecs.
4. **Ridurre l'esposizione.** Chi non ha bisogno dell'accesso remoto a Plex dovrebbe disattivare le funzioni collegate e smettere di inoltrare la porta 32400\. Chi ne ha bisogno dovrebbe usare una VPN.
5. **Per i team IT.** Verificare nell'inventario i NAS con Plex installato, anche su dispositivi domestici o di piccoli uffici. Controllare i log di rete per connessioni insolite in uscita, compatibili con minatori o proxy.

Questo articolo si basa su fonti pubbliche e su un avviso di QNAP. Gli indicatori di compromissione e le procedure ufficiali vanno verificati direttamente nelle comunicazioni del vendor.

## Fonti

- [QNAP says hackers breaching NAS devices in Plex2Shell attacks](https://www.bleepingcomputer.com/news/security/qnap-says-hackers-breaching-nas-devices-in-plex2shell-attacks?ref=reinaldoferro.com)
- [BleepingComputer – QNAP says hackers breaching NAS devices in Plex2Shell attacks](https://www.bleepingcomputer.com/news/security/qnap-says-hackers-breaching-nas-devices-in-plex2shell-attacks/?ref=reinaldoferro.com)
- [QNAP Community – Plex2Shell: Check and Remediation FAQ for QNAP NAS Users](https://community.qnap.com/t/plex2shell-check-and-remediation-faq-for-qnap-nas-users/7471?ref=reinaldoferro.com)
- [The Hacker News – CISA Orders Federal Agencies to Patch Exploited Plex2Shell, Siemens, and SiteGuard Flaws](https://thehackernews.com/2026/10/cisa-orders-federal-agencies-to-patch.html?ref=reinaldoferro.com)
- [Field Effect – Active exploitation of Plex2Shell vulnerabilities](https://fieldeffect.com/blog/active-exploitation-plex2shell-vulnerabilities?ref=reinaldoferro.com)
- [eSecurity Planet – Plex Security Warning: 36,000 Servers Found Unpatched](https://www.esecurityplanet.com/news/news-plex-security-flaws-36000-servers-unpatched/?ref=reinaldoferro.com)