QNAP NAS-eszközöket támadnak a Plex Media Server hibáin keresztül
A QNAP szerint már érkeztek olyan felhasználói bejelentések, amelyek alapján támadók feltörhették a NAS-eszközökön futó Plex Media Servert. A gyártó azonnali frissítést kér, de aki korábban az internetről is elérhetővé tette a sérülékeny alkalmazást, annak a gépét potenciálisan feltörtnek kell tekintenie.
Fejlemény
Előzményünk (2026. október 21.): Már kihasználják a Plex Media Server fájlírást lehetővé tevő hibáját
Fontos
Aktívan kihasznált, kritikus: CVSS 8.6
A Plexet érintik a hibák, nem a QNAP operációs rendszereit
A Plex Media Server filmeket, zenéket és más médiatartalmakat tesz elérhetővé különböző eszközökön. A QNAP szerint a Plex2Shell néven ismert hibák ebben az alkalmazásban találhatók: a QTS, a QuTS hero és a többi QNAP operációs rendszer önmagában nem érintett.
A hibákat megfelelő körülmények között összekapcsolva a támadó érvényes belépési adatok nélkül futtathat tetszőleges kódot a sérülékeny kiszolgálón. A kód a Plex szolgáltatás jogosultságaival fut, és további szoftvereket is telepíthetnek vele.
Kriptobányászt is telepítettek a támadás során
Zach Main biztonsági kutató 2026. október 16-án tette közzé a hibák technikai leírását és egy működést bemutató támadókódot. Egy napon belül kutatók azt észlelték, hogy támadók egy internetről elérhető, megfigyelésre használt csapdarendszer ellen használták ki a láncot. Kriptobányász kártevőt és proxyszoftvert telepítettek rá.
A lánc négy sérülékenységből áll: CVE-2026-96652, CVE-2026-96654, CVE-2026-96655 és CVE-2026-96656. A CISA 2026. október 20-án felvette a Plex2Shell hibáit a ténylegesen kihasznált sebezhetőségek listájára. A Plex szeptemberben, a támadókód közzététele előtt adott ki javításokat.
Így ellenőrizhető a telepített verzió
A QNAP azt kéri, hogy a felhasználók az App Centerben, a My Apps menüben azonnal frissítsék a Plex Media Servert 1.43.3-as vagy újabb verzióra. Ezután a Plex Web felületén, a Settings és a General menüpont alatt ellenőrizhető, hogy a telepített kiadás 1.43.3.10861 vagy újabb-e.
A gyártó a QTS vagy a QuTS hero, valamint a telepített alkalmazások naprakészen tartását is javasolja. Ha nincs szükség a Plex Remote Access távoli elérési funkcióra, a QNAP szerint érdemes kikapcsolni, és kerülni a 32400-as port továbbítását. Távoli hozzáféréshez VPN-t, azaz virtuális magánhálózatot ajánl.
Az internet felől elérhető régi Plexnél a frissítés nem elég
Ha a Plex 1.43.2-es vagy korábbi kiadása az internetről elérhető volt, a QNAP szerint a NAS-t potenciálisan feltörtnek kell tekinteni. Ez előfordulhatott bekapcsolt Plex Remote Access mellett, a 32400-as port továbbításával, vagy akkor is, ha a portot az UPnP vagy az útválasztó beállításai automatikusan megnyitották.
A frissítés önmagában nem távolítja el a támadó által esetleg telepített szoftvert. A QNAP ilyen esetben a saját útmutatója szerinti tiszta újratelepítést, a feltörés jeleinek ellenőrzését, valamint a Plex és a NAS belépési adatainak visszaállítását javasolja. A gyártó technikai támogatása segíti az érintett felhasználókat.
Az ügy eddig
- Már kihasználják a Plex Media Server fájlírást lehetővé tevő hibáját
- QNAP NAS-eszközöket támadnak a Plex Media Server hibáin keresztül (ez a cikk)
A cikk mesterséges intelligencia segítségével készült; a szerkesztőség ellenőrizte és jóváhagyta. Impresszum