QNAP alerta para ataques Plex2Shell contra servidores Plex em dispositivos NAS

A QNAP pede que usuários atualizem o Plex Media Server pela App Center para a versão 1.43.3.10861, a mais recente disponível. O alerta vem depois de relatos de comprometimento de NAS por meio do Plex2Shell, uma cadeia de quatro vulnerabilidades (CVE-2026-96652, CVE-2026-96654, CVE-2026-96655 e CVE-2026-96656). O pesquisador Zach Main reportou as falhas à Plex em 27 de julho. A exploração começou pouco depois da divulgação dos detalhes técnicos, em 16 de outubro. A CISA incluiu as quatro no catálogo KEV em 20 de outubro de 2026 e deu três dias para agências federais atualizarem.

Segundo a PSIRT da QNAP, as falhas estão só no Plex Media Server. QTS, QuTS hero e outros sistemas da empresa não são afetados. O ponto mais sensível: atualizar não remove payloads já instalados. Quem tinha servidor vulnerável exposto à Internet deve tratar o NAS e todo o conteúdo como comprometido, verificar os indicadores do boletim, reinstalar o QTS ou QuTS hero do zero e redefinir credenciais do Plex e do NAS. Quem não precisa de acesso remoto deve desativar o recurso e parar de encaminhar a porta 32400. Quem precisa deve usar VPN. Logs de casos suspeitos podem ser enviados ao suporte técnico da QNAP.

A exposição vinha sendo mapeada havia semanas. Em 15 de setembro de 2026, o CEVIU noticiou "Alerta Crítico: Mais de 36 mil Servidores Plex Expostos a Vulnerabilidades", sobre servidores na versão 1.43.2 ou anterior acessíveis pela internet. Em 20 de outubro de 2026, em "Plex Media Servers Sob Ataque: Criptominers Explorando Vulnerabilidades Críticas", o CEVIU relatou exploração da mesma cadeia de CVEs para instalar criptomineradores, a partir de um honeypot que registrou o ataque em 17 de outubro. Agora o foco passa para o NAS: a QNAP confirma comprometimentos em seus dispositivos e orienta reinstalação completa do sistema, não só o patch.

Para quem opera NAS com Plex, a leitura é direta: o patch sozinho não basta se o servidor já esteve exposto. Vale revisar a porta 32400 no roteador, procurar os indicadores do boletim e planejar a reinstalação. Em ambientes que misturam backup e mídia no mesmo NAS, o risco vai além do Plex, já que o dispositivo inteiro é tratado como comprometido.