QNAP confirma NAS comprometidos por Plex2Shell; atualize Plex para 1.43.3.10861
Quatro falhas do Plex Media Server em NAS QNAP, batizadas Plex2Shell (CVE-2026-96652, CVE-2026-96654, CVE-2026-96655, CVE-2026-96656), podem ser encadeadas para execução remota de código sem autenticação. A QNAP confirmou dispositivos comprometidos, a CISA lista as falhas como ativamente exploradas, e servidores invadidos foram usados para minerar criptomoedas e rodar software de proxy. Atualize o Plex para 1.43.3.10861 ou posterior; quem rodava versão antiga exposta à internet deve assumir comprometimento, reinstalar o sistema e redefinir senhas.
O que aconteceu
Atacantes estão invadindo armazenamentos QNAP explorando quatro falhas do Plex Media Server, conjunto chamado Plex2Shell. A QNAP confirmou dispositivos comprometidos e a CISA lista as falhas como ativamente exploradas. Servidores invadidos foram usados para minerar criptomoedas e rodar software de proxy.
Por que importa
O ataque dá controle remoto do servidor sem exigir senha, expondo todos os arquivos armazenados no NAS. Equipamentos invadidos são usados para mineração e proxy, consumindo recursos da empresa. Segundo a QNAP, quem rodava Plex antigo exposto à internet deve assumir que o equipamento foi comprometido.
O que fazer
Atualize o Plex Media Server para a versão 1.43.3.10861 ou posterior agora. Se o Plex antigo estava exposto à internet, reinstale o sistema operacional do NAS do zero e redefina as senhas do NAS e do Plex, pois a atualização não remove o que os atacantes instalaram.
Para o time técnico
- CVE
- CVE-2026-96652, CVE-2026-96654, CVE-2026-96655, CVE-2026-96656
- Afetados
- Plex Media Server em NAS QNAP (conjunto de falhas Plex2Shell) · Plex Media Server instalado em NAS QNAP, versões anteriores a 1.43.3.10861.
- Exploração
- Exploração ativa confirmada pela QNAP, com relatos de dispositivos comprometidos; CISA lista as falhas como ativamente exploradas. Servidores comprometidos usados para implantar mineradores de criptomoeda e software de proxy.
- Correção
- Atualizar Plex Media Server para 1.43.3.10861 ou posterior (correção lançada em agosto, segundo a IntCyberDigest). Apenas atualizar não remove cargas maliciosas: dispositivos comprometidos exigem reinstalação limpa do sistema operacional e redefinição das senhas do NAS e do Plex.
- Vetor
- Plex Media Server em NAS QNAP exposto à internet; quatro falhas encadeadas (Plex2Shell: CVE-2026-96652, CVE-2026-96654, CVE-2026-96655, CVE-2026-96656) permitem execução remota de código sem autenticação, sem necessidade de login.
- Mais detalhes
- QNAP orienta que clientes que rodavam Plex antigo exposto à internet assumam o NAS como comprometido. O encadeamento das quatro falhas resulta em execução remota de código sem autenticação.
Linha do tempo
QNAP diz que clientes que rodavam Plex antigo exposto à internet devem assumir o NAS como comprometido; servidores invadidos foram usados para minerar criptomoedas e rodar software de proxy.
Incidente aberto.
Fontes 2 fontes
- @DarkWebInformer @DarkWebInformer
- @IntCyberDigest @IntCyberDigest
