NASがPlex2Shellで侵害か、QNAPが警告　更新しても攻撃者が仕込んだものは消えない

　QNAPは11月6日、NASで稼働するメディアサーバ「Plex Media Server」の脆弱性チェーン「Plex2Shell」により、侵害されたとみられる報告を一部のユーザーから受けたと明らかにした。同社は注意喚起として、Plexを修正版の1.43.3.10861以降へ直ちに更新するよう求めている。報告したユーザーには、テクニカルサポートが対応しているという。

　影響を受けるのは、Plex 1.43.2以前。対象の脆弱性はCVE-2026-96652、CVE-2026-96654、CVE-2026-96655、CVE-2026-96656の4件で、連鎖させると認証なしでリモートからPlexプロセスの権限でコードを実行される恐れがあるという。

　QNAPによると、問題があるのはPlex Media Serverで、同社の製品セキュリティインシデント対応チームが、QTS、QuTS heroなどのQNAP製OS自体は影響を受けないことを確認した。修正版はApp Centerの「My Apps」から更新できる。

　Plexは、これらの脆弱性が悪用されていると説明している。QNAPは、概念実証コードが公開済みであること、更新していないインターネット公開のサーバが攻撃を受け、暗号資産マイナーやプロキシソフトの実行に使われた例があることにも触れた。

　一方でQNAPは、更新だけでは攻撃者が置いたものは消えないと強調する。Remote Accessを有効にしていた、ポート32400を転送していた、UPnPなどでポートが自動的に開いていたなど、1.43.2以前の状態でPlexにインターネットから到達できた場合は、NASが侵害されている可能性があるものとして扱うよう求めた。その場合は、侵害の痕跡の確認、クリーンな再インストール、PlexとNASの認証情報のリセットを推奨している。

　あわせて、リモートアクセスが不要ならPlexのRemote Accessを無効にしてポート32400を転送しないこと、必要な場合はVPNを使うこと、QTSやQuTS heroと導入済みアプリを最新に保つことも案内した。侵害の確認にQNAPの支援が必要な場合は、Plexを削除する前にLogsフォルダを保存したうえで、テクニカルサポートに問い合わせる。確認と修復の手順をまとめたFAQも公開している。