- 攻撃者がPlex2Shellの脆弱性チェーンを積極的に悪用し、インターネットに公開されたNAS機器を侵害
- QNAPは即時のアップデートを呼びかけ。古いバージョンのPlex Media Serverでは、リモートコード実行と機器の完全な乗っ取りが可能
- パッチ適用前に公開状態だったシステムはすでに侵害されている可能性があり、認証情報のリセットと全面的な対処が必要
QNAPはセキュリティアドバイザリを公開し、ネットワーク接続ストレージ（NAS）機器のユーザーに対し、Plex Media Serverアプリを最新版にアップデートするよう警告しました。
同社によると、古いバージョンが、悪名高いPlex2Shell脆弱性チェーンを使って実際に攻撃で悪用されているということです。
QNAPはアドバイザリで「Plexは、これらの脆弱性が広範囲かつ積極的に悪用されていることを確認しました。QNAPは、QNAP NAS上でPlex Media Serverを実行しているすべてのユーザーに対し、直ちにアップデートし、以下の手順に従って機器を確認するよう強く求めます」と述べています。
QNAP NASとは何か、Plexの欠陥とどう関係するのか
ネットワーク接続ストレージ機器は、ネットワーク上でファイルの保存、バックアップ、共有を行うための専用システムです。いわば、複数のハードディスクをローカルネットワークにつなぎ、手軽にアクセスできるようにしたものです。個人でも企業でも、サブスクリプション型のクラウドストレージの代わりとして利用されることが多く、音声や動画ファイルのストリーミングに使われることもあります。
その方法の一つが、Plex Media Serverというソフトウェアアプリケーションです。映画、テレビ番組、音楽などのマルチメディアコンテンツの個人コレクションを整理し、ストリーミングできます。NASにPlexをインストールし、スマートフォンなどの機器に対応プレーヤーアプリを入れれば、ローカルネットワーク経由でも、インターネット経由のリモートでも、メディアライブラリにアクセスできます。
問題が見つかったのは、この後者、つまりインターネット経由の部分です。
Plexは2026年11月初め、Media Serverのバージョン1.43.2以前に存在する4件の脆弱性（CVE-2026-96652、CVE-2026-96654、CVE-2026-96655、CVE-2026-96656）を修正したと公表しました。これらは単独でも比較的危険ですが、連鎖させると、認証されていない攻撃者が最高権限で任意のコードをリモートから実行できてしまいます。つまり、Plex Media Serverを足がかりにQNAP NASを乗っ取り、その気になれば保存されている機密コンテンツにアクセスして盗み出せるということです。この4件は「Plex2Shell」と呼ばれています。
Plexは2026年9月に修正版をリリースし、数週間後には概念実証（PoC）のエクスプロイトが公開されました。それ以降、複数のセキュリティ企業が、Plex2Shellが実際の攻撃で悪用されているのを確認したと報告しています。主な目的は、プロキシソフトウェアや暗号資産マイナーのインストールです。マイナーの多くは高性能なGPUを必要とするため、あまり役に立たないかもしれませんが、プロキシのほうは大きな利益につながる可能性があります。
Plexのパッチ適用
プロキシネットワークを使うと、サイバー犯罪者は正規の家庭向けインフラを経由して通信を中継できます。これにより、自分の身元や所在を隠せるだけでなく、妨害的な分散型サービス拒否（DDoS）攻撃も仕掛けられます。そのため、住宅用プロキシサービスは常に需要が高く、運営者に多額の収益をもたらすことがあります。
米国のサイバーセキュリティ・社会基盤安全保障庁（CISA）は10月20日、4件すべての脆弱性を「既知の悪用された脆弱性（KEV）」カタログに追加しました。そのうえで、連邦文民行政機関（FCEB）に対し、わずか3日間で修正を適用するか、Plexの使用を完全に中止するよう求めています。
なお、Plexはメディアサーバーのバージョン1.43.3（ビルド1.43.3.10861）でこれらの欠陥に対処しており、現在はQNAPのApp Centerからダウンロードできます。QNAPは、この脆弱性がPlex Media Serverにのみ存在し、QTSおよびQuTSオペレーティングシステムは影響を受けないことを確認しています。ただしPlexは、古いバージョンのソフトウェアを実行している間にNASがインターネットから到達可能だった場合、アップデートだけでは不十分であり、そのNASは侵害されたものとして扱うべきだとしています。
該当するユーザーには、クリーンな再インストール、侵害の有無の確認、認証情報のリセットを完了するよう勧告されています。
インターネットからアクセス可能なQNAP NASの正確な台数を把握するのは困難ですが、BitSightの数値によると、現時点で数万台に上ります。すべてが脆弱というわけではなく（そもそもPlex Media Serverを実行していない機器も多いとみられます）、理論上の攻撃対象領域はかなり広いといえます。
