Plex2Shell, QNAP segnala NAS compromessi: aggiornare Plex non basta a ripulire il sistema

Cosa è successo

QNAP ha comunicato di aver ricevuto segnalazioni da alcuni utenti, secondo cui Plex Media Server sui loro NAS sarebbe stato compromesso tramite Plex2Shell. Il supporto tecnico sta assistendo i clienti coinvolti. Plex2Shell è una catena di quattro vulnerabilità di Plex Media Server: CVE-2026-96652, CVE-2026-96654, CVE-2026-96655 e CVE-2026-96656.

Secondo il PSIRT di QNAP i difetti stanno solo in Plex Media Server. QTS, QuTS hero e gli altri sistemi operativi QNAP non sono vulnerabili in sé. Il problema riguarda quindi un'applicazione di terze parti installata dall'App Center, non il firmware del NAS.

Perché conta

I NAS di solito contengono backup e archivi personali. Un'esecuzione di codice remota non autenticata su un servizio esposto a Internet può quindi avere conseguenze ben più gravi della semplice perdita di una libreria multimediale. QNAP raccomanda di considerare compromessi NAS e contenuti personali se il server Plex era vulnerabile ed esposto su Internet.

C'è poi un punto operativo spesso trascurato. Installare la versione corretta di Plex non elimina i payload che gli attaccanti hanno già piazzato su un dispositivo compromesso.

Contesto

Il ricercatore Zach Main, che ha scoperto le falle, spiega che un attaccante remoto può concatenarle per ottenere esecuzione di codice remota senza autenticazione. La catena sfrutta l'accesso a funzioni interne, la divulgazione del token amministrativo del proprietario e la scrittura di un file nella cartella Codecs di Plex. Il codice viene eseguito con gli stessi privilegi del processo Plex Media Server.

Cronologia, secondo le fonti consultate:

• La segnalazione a Plex risale al 27 luglio.
• Il 16 ottobre il ricercatore ha pubblicato l'analisi tecnica insieme a una proof of concept su GitHub.
• Il 17 ottobre sono emersi i primi tentativi di sfruttamento in the wild, contro honeypot Plex, con tentativi di installare un cryptominer.
• Il 20 ottobre 2026 CISA ha inserito tutti e quattro i CVE nel catalogo KEV. Gli attacchi osservati hanno distribuito cryptominer e software proxy, che instrada il traffico di altri utenti attraverso i server compromessi.

Le versioni vulnerabili sono quelle precedenti alla build 1.43.3.10861. QNAP indica 1.43.2 e precedenti come versioni interessate. Attenzione al numero di build completo: una fonte sottolinea che bisogna verificarlo per intero e non fermarsi alla sigla abbreviata "1.43.3".

Nei mesi scorsi si era già parlato di server Plex esposti. A settembre Shadowserver segnalava oltre 36.000 istanze esposte e non aggiornate. Quel dato riguardava però l'avviso di Plex di settembre. Come ricorda eSecurity Planet, non indica 36.000 server effettivamente attaccati e non stabilisce da solo uno sfruttamento attivo. Non va quindi letto come numero di server vulnerabili oggi.

Cosa sappiamo e cosa no

Confermato:

• QNAP ha ricevuto segnalazioni di sospette compromissioni e sta assistendo gli utenti.
• I difetti sono in Plex Media Server e non nei sistemi operativi QNAP.
• I CVE indicano come affette le versioni di Plex Media Server precedenti alla build 1.43.3.10861.
• CISA considera lo sfruttamento confermato e ha inserito i CVE nel KEV.

Non chiaro o non confermato:

• Non risulta un numero di NAS QNAP effettivamente violati. L'azienda parla di "alcuni utenti" e di segnalazioni di sospette compromissioni.
• Non c'è un'attribuzione degli attacchi a un gruppo specifico. Le fonti consultate parlano di cryptominer e proxy, senza altro.
• Nelle fonti i dettagli minori non coincidono. La data di rilascio della patch compare come 3 agosto in alcune e come 4 agosto in altre. Anche i punteggi CVSS di un singolo CVE variano da una fonte all'altra: per CVE-2026-96655 si trovano 5.3 e 4.3. Conviene fare riferimento ai record CVE ufficiali.
• Le fonti non sono concordi sulla data di inserimento nel KEV: 20 ottobre per la maggior parte, 21 ottobre per altre. Va probabilmente attribuita al fuso orario o alla data di pubblicazione degli articoli, ma non è verificato.

Impatto pratico

1. Aggiornare. Da App Center > My Apps > Plex Media Server > Update. La versione corretta è la 1.43.3 (build 1.43.3.10861 o successive). La FAQ di QNAP elenca tra gli indicatori di compromissione processi sconosciuti avviati da Plex Media Server, con nomi come myawesomeproxy, mylovelyminer o x12345.
2. Se il server era esposto, presumere la compromissione. QNAP ha pubblicato una guida di rimedio passo-passo. Il bollettino prevede di cercare i segni di compromissione, reinstallare in modo pulito QTS o QuTS hero e reimpostare le credenziali di Plex e del NAS.
3. Conservare i log prima di rimuovere Plex. Per chiedere aiuto a QNAP nella verifica, bisogna prima copiare la cartella Logs di Plex in un'altra posizione. Poi si reinstalla dall'App Center senza ripristinare la vecchia cartella Codecs.
4. Ridurre l'esposizione. Chi non ha bisogno dell'accesso remoto a Plex dovrebbe disattivare le funzioni collegate e smettere di inoltrare la porta 32400. Chi ne ha bisogno dovrebbe usare una VPN.
5. Per i team IT. Verificare nell'inventario i NAS con Plex installato, anche su dispositivi domestici o di piccoli uffici. Controllare i log di rete per connessioni insolite in uscita, compatibili con minatori o proxy.

Questo articolo si basa su fonti pubbliche e su un avviso di QNAP. Gli indicatori di compromissione e le procedure ufficiali vanno verificati direttamente nelle comunicazioni del vendor.

Fonti

• QNAP says hackers breaching NAS devices in Plex2Shell attacks
• BleepingComputer – QNAP says hackers breaching NAS devices in Plex2Shell attacks
• QNAP Community – Plex2Shell: Check and Remediation FAQ for QNAP NAS Users
• The Hacker News – CISA Orders Federal Agencies to Patch Exploited Plex2Shell, Siemens, and SiteGuard Flaws
• Field Effect – Active exploitation of Plex2Shell vulnerabilities
• eSecurity Planet – Plex Security Warning: 36,000 Servers Found Unpatched