QNAP warnt am 6. November 2026 vor aktiven Angriffen auf Plex Media Server auf eigenen NAS-Geräten. Das Unternehmen hat nach eigenen Angaben Kundenmeldungen über mutmaßlich kompromittierte Installationen erhalten und unterstützt Betroffene im Support. Der harte Punkt ist nicht nur das Update: War Plex zuvor aus dem Internet erreichbar, reicht Patchen allein nicht.
Was belegt ist
Unter dem Namen Plex2Shell stehen vier Schwachstellen in Plex Media Server 1.43.2 und älter: CVE-2026-96652, CVE-2026-96654, CVE-2026-96655 und CVE-2026-96656. QNAP schreibt, jede Lücke für sich sei begrenzt riskant; verkettet erlaubten sie einem nicht authentifizierten Angreifer aus dem Netz, Code mit den Rechten des Plex-Prozesses auszuführen. Behoben sei das ab Build 1.43.3.10861, der im QNAP App Center bereitstehe. QTS und QuTS hero seien selbst nicht betroffen – die Lücken sitzen in der Drittanbieter-App.
Laut QNAP und Plex erschien am 16. Oktober ein öffentlicher Proof of Concept; seither seien internetexponierte, ungepatchte Server breit angegriffen worden. Auf kompromittierten Systemen seien unter anderem Krypto-Miner und Proxy-Software beobachtet worden. Die US-Behörde CISA hatte die vier CVE am 20. Oktober in ihren Katalog bekannter ausgenutzter Schwachstellen aufgenommen.
In der Security Notice heißt es wörtlich: „QNAP has received reports from some users that Plex Media Server on their NAS appears to have been compromised through these vulnerabilities, and QNAP Technical Support is assisting the affected users.“ Eine Zahl betroffener Geräte nennt QNAP nicht.
Der harte Punkt ist die Exposition
QNAP empfiehlt drei Schritte. Erstens sofort aktualisieren: App Center → Meine Apps, Plex auf 1.43.3 oder neuer, danach in Plex Web unter Einstellungen → Allgemein die Build-Nummer prüfen. Zweitens: War Plex Remote Access aktiv, Port 32400 weitergeleitet oder per UPnP/Router-Autokonfiguration geöffnet, solle man das Gerät als potenziell kompromittiert behandeln. Ein Update entferne nicht, was Angreifer bereits nachgeladen haben könnten. In der QNAP-FAQ folgen Hinweise zu Indikatoren, sauberer Neuinstallation von Plex ohne den alten Codecs-Ordner und zum Zurücksetzen von Plex- und NAS-Zugangsdaten. Drittens die Angriffsfläche verkleinern: Remote Access abschalten, Port 32400 nicht mehr freigeben; wer Fernzugriff braucht, soll laut QNAP VPN nutzen.
Wer eine Untersuchung durch den Hersteller will, soll den Ordner mit den Plex-Logs sichern, bevor Plex entfernt wird, und dann den QNAP-Support kontaktieren.
Einordnung
Plex2Shell selbst ist seit Wochen bekannt: heise und Golem berichteten bereits im Oktober über Exploit und Angriffe. Neu und für viele deutsche Heim- und KMU-NAS relevant ist die heutige Herstellerwarnung von QNAP: Es gibt konkrete Kundenfälle, und die Botschaft ist klarer als ein generisches Patch-Reminder. Wer Plex nur im LAN laufen lässt und nie freigegeben hat, steht anders da als jemand mit Remote Access über Port 32400. Genau diese Unterscheidung macht QNAP jetzt zur Pflichtlektüre.
Was fehlt: eine öffentliche Opferstatistik und eine forensische Zuschreibung an konkrete Tätergruppen. Was steht: Primärquelle vom Hersteller, bestätigte aktive Ausnutzung und eine klare Handlungsreihe für typische QNAP-Setups.
Quellen
📂
Kategorie
News
Aktuelle Meldungen aus der Tech-Welt – kompakt eingeordnet, ohne Clickbait-Überschriften.
