„QNAP hat von einigen Nutzern Meldungen erhalten, dass der Plex Media Server auf ihrem NAS offenbar über die [Plex2Shell-]Schwachstellen kompromittiert wurde, und der technische Support von QNAP unterstützt die betroffenen Nutzer", heißt es in einem Sicherheitshinweis des Unternehmens.

Plex2Shell besteht aus vier Schwachstellen im Plex Media Server:

Entdeckt und am 27. Juli an Plex gemeldet wurden sie vom Sicherheitsforscher Zach Main. Die Ausnutzung begann kurz nachdem die vollständigen technischen Details am 16. Oktober öffentlich wurden. Die US-Behörde CISA nahm alle vier Lücken am 20. Oktober 2026 in ihren Katalog bekannter ausgenutzter Schwachstellen auf und setzte US-Bundesbehörden mit höchster Priorität eine Frist von drei Tagen für das Update auf Plex 1.43.3.10861 oder neuer.

Das QNAP Product Security Incident Response Team (PSIRT) hat nach Angaben des Herstellers bestätigt, dass die Schwachstellen ausschließlich im Plex Media Server liegen; QTS, QuTS hero und andere QNAP-Betriebssysteme seien selbst nicht betroffen. Die aktuell im QNAP App Center verfügbare Version ist 1.43.3.10861.

QNAP-NAS sind spezialisierte Rechner mit eingebautem Speicher, mit denen Dateien im Netzwerk abgelegt, abgerufen und geteilt werden – typischerweise für Computer-Backups und Mediendateien. Über das App Center lassen sich zusätzliche Anwendungen installieren, darunter der Plex Media Server, der Filme, Serien und Musik direkt von den NAS-Laufwerken streamt.

Wer einen verwundbaren Plex-Server betreibt, der aus dem öffentlichen Internet erreichbar ist, sollte das NAS und sämtliche persönlichen Inhalte laut QNAP als kompromittiert betrachten. Der Hersteller warnt ausdrücklich, dass ein Update bereits eingeschleuste Schadkomponenten nicht entfernt.

Empfohlenes Vorgehen:

  • die im Sicherheitshinweis genannten Anzeichen einer Kompromittierung prüfen
  • das Betriebssystem (QTS oder QuTS hero) sauber neu installieren
  • anschließend die Zugangsdaten von Plex und NAS zurücksetzen

Nutzer, die keinen Fernzugriff auf Plex benötigen, sollen die entsprechenden Funktionen deaktivieren und die Portweiterleitung für Port 32400 beenden. Wer Fernzugriff braucht, soll per VPN verbinden. QNAP hat dazu eine ausführliche Schritt-für-Schritt-Anleitung veröffentlicht und bietet zudem an, Protokolldateien bei Verdacht auf eine Kompromittierung zu untersuchen; sie können über das technische Support-Portal des Unternehmens eingereicht werden.