QNAP製NAS利用者を狙い「Plex2Shell」の悪用が発生

台湾のストレージ・ネットワーク機器メーカーであるQNAPは、攻撃者が「Plex2Shell」を悪用し、QNAP製NAS上で稼働するPlex Media Serverに侵入していると警告しました。

Plex2Shellは、Plex Media Serverに存在する4件の脆弱性（CVE-2026-96652、CVE-2026-96654、CVE-2026-96655、CVE-2026-96656）を連鎖させた攻撃手法です。これらの脆弱性は今年の夏に修正されています。

技術的な詳細と概念実証（PoC）コードが公開されたことを受け、10月中旬から、この4つの脆弱性を連鎖させた攻撃が広範囲で始まりました。

Plex2Shellの悪用に有効な認証情報は不要です。攻撃者は、インターネットに公開されたサーバー上で、Plexサービスの権限により任意のコードを実行できる可能性があります。

Plex Media Serverは、QNAP製NAS向けにサードパーティ製アプリケーションとして、公式のApp Centerから提供されています。

QNAPは金曜日、「一部のユーザーから、NAS上のPlex Media Serverがこれらの脆弱性を突かれて侵害されたとみられる、との報告を受けています」と警告しました。

同社は「QNAPテクニカルサポートチームが影響を受けたユーザーを支援しており、データの損失は発生していないことを確認しています。QNAP製品セキュリティインシデント対応チーム（QNAP PSIRT）の調査では、これらの脆弱性が存在するのはPlex Media Serverのみで、QTS、QuTS hero、その他のQNAP製OSそのものは影響を受けないことが確認されています」とも述べています。

QNAP製NASのユーザーは、できるだけ早くPlex Media Serverをバージョン1.43.3以降に更新するよう求められています。

QNAPは、インターネットからアクセス可能な状態にあったデバイスについては、侵害を受けた可能性があるものとみなし、Plexを再インストールするよう呼びかけています。あわせて、PlexとNAS双方のパスワードをただちに変更することも勧めています。

QNAPは「Plexへのリモートアクセスが不要な場合は、Plex Remote Accessを無効にし、ポート32400を転送しないでください。リモートアクセスが必要な場合は、代わりにVPNを使用してください。また、QTSまたはQuTS hero、およびインストール済みのすべてのアプリが最新の状態であることも確認してください」としています。

同社は、侵害の可能性を確認して対処できるよう、手順を順に説明する対処ガイドも公開しています。