Vier Plex2Shell-⁠Lücken in Plex Media Server – öffentlich erreichbare QNAP-⁠NAS als kompromittiert behandeln

Auf QNAP-⁠NAS mit öffentlich erreichbarem Plex Media Server laufen Angriffe über eine Kette aus vier Schwachstellen. QNAP meldet Hinweise auf kompromittierte Geräte; ein Update schließt die Lücken, entfernt aber keine Schadkomponenten, die Angreifer bereits installiert haben.

Betroffen ist Plex Media Server, nicht das QNAP-Betriebssystem

Die Plex2Shell-⁠Kette umfasst CVE-⁠2026-⁠96652, CVE-⁠2026-⁠96654, CVE-⁠2026-⁠96655 und CVE-⁠2026-⁠96656. Die Schwachstellen liegen laut QNAP im Plex Media Server. QTS, QuTS hero und andere QNAP-⁠Betriebssysteme sind nicht selbst betroffen. Das ist eine wichtige Unterscheidung: Der Angriff kann trotzdem ein NAS treffen, auf dem Plex als zusätzliche Anwendung läuft.

Der Sicherheitsforscher Zach Main meldete die Lücken am 27. Juli an Plex. Die vollständigen technischen Details wurden am 16. Oktober öffentlich; kurz danach begann die Ausnutzung. Am 20. Oktober nahm die US-⁠Cybersicherheitsbehörde CISA alle vier Schwachstellen in ihren Katalog aktiv ausgenutzter Lücken auf. Diese Abfolge zeigt, warum ein öffentlich erreichbarer Plex-⁠Dienst nicht bis zum nächsten regulären Wartungstermin warten sollte.

Ein Update ist bei möglichem Zugriff nicht die ganze Bereinigung

QNAP empfiehlt, Plex Media Server über das QNAP App Center auf die dort neueste verfügbare Version zu aktualisieren. In der Meldung wird Version 1.43.3.10861 als aktueller Stand genannt. Prüfen Sie die Version in Ihrer Installation und aktualisieren Sie den Plex-⁠Dienst, sofern er noch verwundbar ist.

Für den entscheidenden Sonderfall reicht das jedoch nicht: Wenn ein verwundbarer Plex-⁠Server aus dem öffentlichen Internet erreichbar war, sollen Betreiber das NAS und die darauf gespeicherten persönlichen Inhalte als kompromittiert behandeln. Ein erfolgreich eingespieltes Update verhindert nicht rückwirkend, dass zuvor Schadcode auf dem Gerät abgelegt wurde. QNAP hat mehrere Meldungen über mutmaßliche Kompromittierungen erhalten; ein bloßer Versionsabgleich beantwortet daher nicht die Frage, ob ein bestimmtes Gerät bereits betroffen ist.

Die empfohlene Reaktion besteht darin, nach den im QNAP-⁠Sicherheitsbulletin beschriebenen Anzeichen zu suchen, das QNAP-⁠Betriebssystem sauber neu zu installieren und anschließend die Zugangsdaten für Plex und das NAS zurückzusetzen. Halten Sie diese Schritte auseinander: Das Update behebt die bekannten Schwachstellen, während die Neuinstallation und der Wechsel der Zugangsdaten zur Reaktion auf eine mögliche bereits erfolgte Kompromittierung gehören. Ein Patch allein ist in diesem Fall keine Bereinigung.

Fernzugriff auf Plex bewusst begrenzen

Wenn Sie Plex nicht von außerhalb Ihres Netzwerks benötigen, deaktivieren Sie die entsprechenden Fernzugriffsfunktionen und beenden Sie die Weiterleitung von Port 32400. Das reduziert die öffentliche Erreichbarkeit des Dienstes. Wer Plex weiterhin aus der Ferne nutzen muss, sollte den Zugriff laut QNAP über ein VPN herstellen.

Prüfen Sie dabei nicht nur, ob Plex aktuell ist, sondern auch, ob die Fernzugriffsoption tatsächlich gebraucht wird und wie sie erreichbar gemacht wurde. Eine nicht benötigte Freigabe sollte nicht allein deshalb bestehen bleiben, weil sie einmal eingerichtet wurde. Der konkrete Anlass für diese Prüfung ist hier die bestätigte Ausnutzung der Plex2Shell-⁠Schwachstellen, nicht eine allgemeine Annahme über QNAP-⁠Betriebssysteme.

Backups auf dem NAS in die Prüfung einbeziehen

QNAP-⁠NAS werden unter anderem verwendet, um Computer zu sichern und Dateien abzulegen. Wenn ein solches Gerät über einen verwundbaren, öffentlich erreichbaren Plex-⁠Dienst kompromittiert sein könnte, sollten Sie die darauf gespeicherten Inhalte nicht ungeprüft als verlässliche Sicherung behandeln. QNAP empfiehlt ausdrücklich, das Gerät und persönliche Inhalte in diesem Fall als kompromittiert einzustufen. Das ist eine Vorsichtsmaßnahme für die Wiederherstellung, kein Nachweis, dass jede einzelne Datei ausgelesen wurde.

Entscheidend ist daher die Kombination aus Erreichbarkeit, betroffenem Plex-⁠Stand und möglicher Kompromittierung. Installieren Sie die aktuelle Plex-⁠Version; war der verwundbare Dienst öffentlich erreichbar, folgen Sie zusätzlich dem Bereinigungsweg von QNAP, statt das Update mit einer abgeschlossenen Reaktion gleichzusetzen.

Quellen: BleepingComputer, Meldung zu QNAP und Plex2Shell (https://www.bleepingcomputer.com/news/security/qnap-says-hackers-breaching-nas-devices-in-plex2shell-attacks/)