Владельцам QNAP NAS с публично доступным Plex Media Server стоит исходить из неприятного сценария: уязвимости Plex2Shell уже используют для проникновения на устройства. Производитель получил несколько сообщений о вероятных компрометациях и рекомендует срочно установить Plex Media Server версии 1.43.3.10861 или новее из QNAP App Center.
Проблема не в QTS или QuTS hero, а в установленном на NAS медиасервере Plex, сообщает BleepingComputer. Но для бизнеса и домашних администраторов это различие скорее академическое: NAS часто хранит резервные копии, рабочие документы, медиатеку и учётные данные, а взлом приложения на нём даёт атакующему точку опоры внутри сети.
Plex2Shell — это цепочка из четырёх уязвимостей Plex Media Server: CVE-2026-96652, CVE-2026-96654, CVE-2026-96655 и CVE-2026-96656. Их обнаружил исследователь Zach Main и сообщил Plex 27 июля. После публикации технических подробностей 16 октября начались атаки. Уже 20 октября американское агентство CISA внесло все четыре CVE в каталог Known Exploited Vulnerabilities и потребовало от федеральных ведомств обновить Plex до версии 1.43.3.10861 или выше в течение трёх дней — максимальный уровень срочности в этой процедуре.
QNAP подчёркивает: собственные операционные системы компании напрямую не уязвимы. Это важная техническая оговорка, но не повод откладывать работу. Plex на NAS — не просто «приложение для кино»: он обрабатывает сетевые запросы и нередко выставлен в интернет ради удалённого доступа к библиотеке. Если такой сервер доступен извне и остаётся на уязвимой версии, атака может обойтись без подбора пароля и без ошибки сотрудника в фишинговом письме.
Особенно неприятна рекомендация производителя для уже затронутых устройств. Простого обновления недостаточно: оно закрывает путь для новых атак, но не удаляет то, что злоумышленник мог успеть установить. QNAP предлагает считать NAS и хранящиеся на нём личные данные скомпрометированными, проверить признаки взлома из бюллетеня безопасности, выполнить чистую переустановку QTS или QuTS hero, а затем сменить пароли Plex и самого NAS. Техподдержка QNAP также готова изучить журналы подозрительных инцидентов, если пользователь передаст их через портал поддержки.
Для администраторов это ещё один аргумент пересмотреть привычную схему «NAS стоит дома или в офисе, значит он в безопасности». Публичный IP, проброшенный порт и удобный медиасервис быстро превращают файловое хранилище в обычный интернет-сервер — со всеми требованиями к патч-менеджменту, мониторингу и сегментации сети. Отдельно стоит проверить, не остались ли на маршрутизаторе старые правила переадресации: Plex по умолчанию использует порт 32400, и именно его QNAP советует перестать пробрасывать, если удалённый доступ не нужен.
Если доступ к библиотеке извне всё же необходим, производитель рекомендует подключаться через VPN. Это не отменяет обновление: уязвимости Plex2Shell нужно закрыть в любом случае. Зато VPN сокращает поверхность атаки, поскольку Plex не принимает соединения напрямую из публичного интернета. Для компаний с несколькими NAS разумный минимум — составить инвентаризацию экземпляров Plex, сверить версии, отключить ненужные внешние публикации и проверить, кто имеет административный доступ к хранилищам.
История с Plex2Shell показывает знакомую, но всё ещё дорогую закономерность: периферийные устройства живут дольше, чем процесс обновления вокруг них. NAS покупают как тихий «ящик для бэкапов», а спустя годы на нём оказываются сервисы, доступные из сети и редко попадающие в регулярные проверки. В ближайшие дни главным вопросом будет не только скорость установки патча, но и то, сколько владельцев обнаружат, что обновлять Plex на уже скомпрометированном хранилище поздно.
