QNAPは、ハッカーがPlex2Shellの脆弱性チェーンを悪用していることを受け、Plex Media ServerをQNAP App Centerで提供されている最新バージョンに更新するよう利用者に呼びかけています。
同社によると、顧客のネットワーク接続ストレージ(NAS)機器が侵害された疑いがあるとの報告を複数受けているということです。
QNAPは本日公開したアドバイザリーで、「一部のユーザーから、NAS上のPlex Media Serverが[Plex2Shell]の脆弱性を通じて侵害された可能性があるとの報告を受けており、QNAPテクニカルサポートが被害を受けたユーザーを支援しています」と説明しています。
Plex2Shellは、Plex Media Serverに存在する4件の脆弱性を連鎖させる攻撃手法です。脆弱性はCVE-2026-96652、CVE-2026-96654、CVE-2026-96655、CVE-2026-96656として追跡されています。
セキュリティ研究者のZach Main氏がこれらの欠陥を発見し、報告したのは7月27日のことです。10月16日に技術的な詳細が全面的に公開されると、その直後から悪用が始まりました。
CISAは2026年10月20日、4件すべての脆弱性を「既知の悪用された脆弱性(KEV)カタログ」に追加しました。連邦機関に対しては、3日以内にPlex 1.43.3.10861以降へアップグレードするよう求めており、最優先の対応としています。
QNAPのNAS機器は、ストレージを内蔵した専用コンピューターです。ネットワーク経由でファイルを保存、参照、共有でき、主にパソコンのバックアップやメディアファイルの保管に使われています。
利用者は、QNAP App Centerからアプリケーションをインストールして機器の機能を拡張することもできます。その一例がPlex Media Serverで、NASのドライブから映画、テレビ番組、音楽を直接ストリーミング配信できます。
QNAPは、Plex2Shell攻撃から身を守るため、QNAP App Center経由で入手できる最新バージョン(現在は1.43.3.10861)へPlex Media Serverを更新するよう推奨しています。
同社は「QNAP製品セキュリティインシデント対応チーム(QNAP PSIRT)は、脆弱性がPlex Media Serverにのみ存在することを確認しました。QTS、QuTS hero、その他のQNAP製OSそのものは影響を受けません」と述べています。
利用者に求められる対応
QNAPは、脆弱なPlexサーバーを公開Webに露出させたまま運用している場合、NAS機器とその中の個人コンテンツはすべて侵害されたものとして扱うべきだとしています。
また、今回の更新では、攻撃者がすでに機器に仕込んだペイロードは削除されないと警告しています。
推奨される対応は、セキュリティ情報に記載された侵害の兆候を確認し、OS(QTSまたはQuTS hero)をクリーンインストールし直したうえで、PlexとNASの認証情報をリセットすることです。
Plexにリモートアクセスする必要がない場合は、関連機能を無効にし、ポート32400の転送を停止してください。リモートアクセスが必要な場合は、VPN経由での接続が推奨されます。
QNAPは、上記の手順を解説した詳細な対処ガイドを公開しています。
同社は、侵害が疑われる機器のログ調査も受け付けています。利用者はQNAPのテクニカルサポートポータルから提出できます。
