Plex2Shell QNAP NAS Angriffe: Patchen reicht nicht

Die Plex2Shell QNAP NAS Angriffe sind real genug, dass QNAP ein eigenes Advisory veröffentlicht hat: Nutzer melden kompromittierte Geräte, und ein Plex-Update entfernt nicht, was Angreifer bereits installiert haben. Plex 1.43.3.10861 behebt die Lücken, aber ein NAS, auf dem Plex 1.43.2 oder älter lief und aus dem Internet erreichbar war, braucht mehr als ein Update.

Was ist passiert bei den Plex2Shell QNAP NAS Angriffen

Plex2Shell ist eine Kette aus vier Schwachstellen im Plex Media Server: CVE-2026-96652, CVE-2026-96654, CVE-2026-96655 und CVE-2026-96656. heise stuft drei als mittel und CVE-2026-96656 als hoch ein; verkettet erlauben sie Angreifern, Code auf dem Server auszuführen. Der Forscher Zach Main meldete sie am 27. Juli an Plex, und die Ausnutzung begann kurz nachdem die vollständigen technischen Details am 16. Oktober öffentlich wurden (laut BleepingComputer). CISA nahm alle vier am 20. Oktober in den Known-Exploited-Vulnerabilities-Katalog auf.

Am 6. November veröffentlichte QNAP ein Advisory zu den Plex2Shell QNAP NAS Angriffen. Darin heißt es, einige Nutzer hätten gemeldet, dass Plex auf ihrem NAS offenbar kompromittiert wurde, und das PSIRT bestätigt, dass die Lücken nur im Plex Media Server liegen; QTS und QuTS hero sind nicht betroffen. Plex berichtet von aktiver und weit verbreiteter Ausnutzung, und heise ergänzt, dass Angreifer gekaperte Server für Krypto-Miner und Proxy-Software nutzen. Stand 6. November ist 1.43.3.10861 die aktuelle Version im QNAP App Center; alle früheren Versionen gelten als verwundbar.

QNAPs Warnung ist konkret. War Plex 1.43.2 oder älter aus dem Internet erreichbar, über Plex Remote Access, eine weitergeleitete Portfreigabe 32400 oder UPnP, ist das NAS als möglicherweise kompromittiert zu behandeln. Das Update entfernt bereits installierte Schadsoftware nicht. QNAPs Anleitung zur Bereinigung nennt Indikatoren, eine saubere Neuinstallation und das Zurücksetzen von Zugangsdaten. BleepingComputer beschreibt eine Neuinstallation des NAS-Betriebssystems, heise eine saubere Neuinstallation von Plex; folgen Sie daher der Anleitung für Ihr Modell.

Warum das wichtig ist

Auf einem NAS liegen Backups und Dateifreigaben. Ein Medienserver, der dort der Bequemlichkeit halber läuft und Fernzugriff aktiviert hat, bringt eine Consumer-Anwendung neben Geschäftsdaten, außerhalb von Software-Inventar und Update-Prozess. Annahme: In kleinen Büros und Filialen läuft oft genau dieses Setup, eingerichtet von dem, der das NAS aufgesetzt hat. Bisher berichtet wurden Miner und Proxy-Software, aber ein Brückenkopf auf einem NAS erreicht auch alles, was das NAS erreichen kann.

Das ist ebenso ein Inventarproblem wie ein Patch-Problem. NIS2-pflichtige Unternehmen sollen wissen, welche Software auf Systemen mit ihren Daten läuft, und „jemand hat Plex installiert“ steht in den wenigsten Inventaren. Dasselbe Risiko durch veraltete NAS-Software haben wir letzte Woche im Beitrag zu Synology NAS Ransomware behandelt.

Was Sie jetzt tun sollten

1. Finden Sie jedes NAS mit Plex Media Server und aktualisieren Sie es über das App Center auf 1.43.3.10861 oder neuer. Braucht im Betrieb niemand Plex, deinstallieren Sie es.
2. Prüfen Sie, ob Plex aus dem Internet erreichbar war: Plex Remote Access, eine weitergeleitete Portfreigabe 32400, UPnP am Router. Schalten Sie diese ab. Brauchen Sie Fernzugriff, legen Sie ihn hinter ein VPN.
3. War Plex 1.43.2 oder älter erreichbar, behandeln Sie das NAS als kompromittiert. Folgen Sie QNAPs Anleitung zur Bereinigung und ändern Sie danach Plex- und NAS-Zugangsdaten sowie alle auf dem Gerät gespeicherten Zugangsdaten. Ein Update allein macht eine frühere Kompromittierung nicht rückgängig.
4. Achten Sie auf unerklärliche CPU-Last und unbekannte ausgehende Verbindungen des NAS, die Anzeichen der bisher berichteten Miner und Proxy-Software.

DIESEC Einschätzung

Plex ist das Beispiel dieser Woche; das Muster ist jede Komfort-App mit einem aus dem Internet erreichbaren Port auf einem Gerät mit Geschäftsdaten. Ein praktikables Minimum ist eine Liste, was auf jedem NAS läuft und welche Ports der Router dorthin weiterleitet. Beides dauert eine Stunde und beantwortet die meisten Audit-Fragen.

Nicht sicher, was auf Ihren NAS-Geräten läuft oder welche Ports sie erreichen? Kontaktieren Sie DIESEC für eine Expositionsanalyse Ihres Speichers und Ihres Fernzugriffs.

Quellen: BleepingComputer | heise | CISA KEV-Katalog
Veröffentlicht: 2026-11-11 | Kategorie: Tägliche News | ~4 Min. Lesezeit