Четыре уязвимости Plex2Shell открыли хакерам доступ к NAS QNAP

Владельцам нужно обновить приложение и проверить, был ли сервер доступен из интернета. Если уязвимый Plex был открыт для удалённого доступа, QNAP советует считать устройство и хранящиеся на нём личные данные скомпрометированными.

QNAP выпустила предупреждение 6 ноября. Для защиты от новых атак компания рекомендует установить через App Center Plex Media Server версии 1.43.3.10861 или новее. Уязвимости находятся в самом Plex. По проверке команды безопасности QNAP, операционные системы хранилищ QTS и QuTS hero не затронуты. Обновление закрывает путь для новых атак, но не удаляет программы, которые злоумышленники могли установить раньше.

Plex2Shell объединяет четыре уязвимости: CVE-2026-96652, CVE-2026-96654, CVE-2026-96655 и CVE-2026-96656. Они позволяют атакующему без учётной записи добраться до внутренних функций сервера, получить токен администратора, записать файл в каталог Codecs и запустить код с правами процесса Plex. Исследователь Зак Мейн сообщил об ошибках Plex 27 июля. После публикации технических подробностей 16 октября начались атаки, а 20 октября американское агентство CISA внесло все четыре уязвимости в каталог эксплуатируемых.

Как защитить NAS QNAP от Plex2Shell

Обновить Plex можно в разделе App Center → My Apps. Затем в веб-интерфейсе Plex, в Settings → General, нужно сверить полный номер сборки: 1.43.3.10861 или новее. В тесте CyberQ магазин приложений QNAP показывал только номер 1.43.3, без номера сборки. Среди сборок 1.43.3 встречалась и более ранняя, без исправления.

CyberQ обнаружил ещё одну особенность при проверке на QuTS hero: после ручной установки пакета с сайта Plex App Center не показывал ни номер версии, ни кнопку обновления. В тестовой системе пакет QNAP пришлось обновлять вручную. Полную версию работающего сервера исследователи проверяли в локальной сети через адрес http://IP-адрес-NAS:32400/identity, без входа в учётную запись Plex.

Если старый Plex был доступен из интернета, QNAP рекомендует проверить признаки взлома, начисто переустановить QTS или QuTS hero и сменить учётные данные Plex и NAS. Перед удалением Plex владельцам, которым нужна помощь поддержки QNAP, советуют сохранить папку Logs. Среди возможных признаков атаки источники называют незнакомые файлы в Codecs, соединения с proxystream.st и высокую загрузку процессора, когда видео не воспроизводится. Файлы.so в Codecs сами по себе не доказывают взлом: Plex хранит там и штатные компоненты.

Нужно выяснить, был ли включён удалённый доступ Plex и открывался ли порт 32400 вручную, через UPnP или настройки маршрутизатора. Тем, кто смотрит свою медиатеку только дома, QNAP советует отключить удалённый доступ и переадресацию порта. Для подключения извне компания рекомендует VPN. При подозрении на взлом источники также советуют выйти из учётной записи Plex на всех устройствах перед сменой пароля и заменить пароли или ключи, сохранённые на NAS для резервного копирования и облачных подключений.

Почему установки исправления может быть мало

По информации Plex, на взломанных серверах злоумышленники запускали майнеры криптовалюты и прокси-программы, через которые пропускали чужой трафик. Возможности атаки зависят от прав, с которыми работает Plex Media Server. В тесте CyberQ на NAS с QuTS hero процессы Plex из пакета QNAP и пакета с сайта Plex работали от имени администратора с UID 0.

CyberQ проверил содержимое каталога Codecs до и после обновления. Время изменения файлов осталось прежним: новая версия не очистила этот каталог и не затронула файл настроек Preferences.xml. Поэтому для устройства, чей уязвимый Plex был открыт в интернете, проверки номера версии недостаточно. Обновление не показывает, успели ли атакующие оставить на NAS свои файлы.

19 октября сообщалось, что исследователь зафиксировал эксплуатацию уязвимостей на тестовом сервере и загрузку на него посторонних программ; тогда речь не шла о подтверждённой массовой атаке на пользовательские установки. Теперь QNAP сообщает о предполагаемых взломах NAS через ту же цепочку уязвимостей.