Plex2Shell : QNAP fait état de NAS compromis, vous devez patcher !
Vous avez installé Plex Media Server sur un NAS QNAP accessible depuis Internet ? QNAP vous demande alors de le considérer comme potentiellement compromis, même après la mise à jour. Voici ce qu'il faut savoir et comment vérifier votre appareil.
Le 6 novembre 2026, QNAP a publié un avis de sécurité consacré à Plex2Shell, un ensemble de quatre vulnérabilités présentes dans Plex Media Server 1.43.2 (et les versions antérieures). QNAP affirme que son équipe support assiste actuellement des utilisateurs dont le serveur Plex semble avoir été compromis. Autrement dit, les systèmes QTS et QuTS hero ne sont pas compromis directement, mais l'attaquant passe par le serveur Plex qui a été installé sur le NAS.
Ces attaques ne font que confirmer ce que l'on pouvait craindre. En effet, début septembre, j'avais publié un article à propos de l'alerte de Plex invitant ses utilisateurs à passer en version 1.43.3, sans aucun détail technique. Les détails sont arrivés le 19 octobre 2026 sur le forum officiel de Plex, avec une mauvaise nouvelle : les failles sont activement et largement exploitées depuis la publication d'une preuve de concept (PoC), le 16 octobre 2026. Cela se confirme avec QNAP, mais c'est une menace globale pour les utilisateurs de Plex.
Pour être plus précis, voici les 4 failles regroupées derrière le nom Plex2Shell :
CVE-2026-96652 : une SSRF sans authentification dans l'endpoint timeline du lecteur.
CVE-2026-96654 : un accès aux fonctions internes des agents via l'interface de boucle locale.
CVE-2026-96655 : la divulgation du jeton d'administration du propriétaire du serveur.
CVE-2026-96656 : une écriture de fichiers arbitraires dans le dossier Codecs via les préférences du transcodeur.
Exploitées ensemble, ces failles permettent à un attaquant distant non authentifié d'exécuter du code avec les privilèges du processus Plex Media Server. D'après Plex, les serveurs compromis ont servi à faire tourner des mineurs de cryptomonnaie et à transformer les machines en proxy (ils font transiter le trafic d'autres personnes par la connexion Internet de la victime).
Mettre à jour ne suffit pas si Plex était exposé
La priorité absolue si vous utilisez Plex, c'est de le mettre à jour. C'est peut-être déjà fait si vous suivez régulièrement les mises à jour. Veillez à utiliser au minimum la version 1.43.3.10861.
Mais si le mal est fait, le correctif ne suffira pas : "la mise à jour seule ne supprimera rien de ce qu'un attaquant aurait pu installer", prévient QNAP. Votre NAS est potentiellement compromis si l'un de ces cas s'appliquait en version 1.43.2 ou antérieure :
Accès à distance : l'option Remote Access était activée dans Plex Web.
Redirection de port : votre routeur redirigeait le port 32400 vers le NAS.
UPnP : UPnP était actif sur le routeur avec Remote Access, qui ouvre le port automatiquement.
myQNAPcloud : Plex était exposé via la configuration automatique du routeur de myQNAPcloud, ou tout autre moyen.
On ignore le nombre de NAS et de serveurs Plex piratés via ces failles, mais l'exploitation est massive.
Comment vérifier votre NAS QNAP
Un NAS QNAP exposé sur le Web et avec une version vulnérable de Plex n'a pas obligatoirement été compromis. Vous avez peut-être eu un peu de chance jusqu'ici... Mais ça vaut le coup de vérifier votre matériel. Les indicateurs de compromission à rechercher, selon Plex et QNAP, sont les suivants :
Processus inconnus : lancés par Plex, comme
myawesomeproxy,mylovelymineroux12345.Fichiers suspects : des fichiers
.soou.dllinhabituels dans le dossier Codecs.Trafic sortant : des connexions vers le domaine
proxystream.st.Activité CPU : une charge élevée et prolongée de votre NAS sans aucune lecture en cours.
Malware Remover : une détection, par exemple avec le code MR2104.
Si votre NAS est compromis, il est recommandé d'effectuer une réinitialisation complète pour repartir sur une base saine. QNAP a publié un article qui vous donnera des informations complémentaires à ce sujet.
Ajouter IT-Connect à mes
sources préférées
Cofondateur d'IT-Connect et Microsoft MVP "Cloud and Datacenter Management". Mon obsession depuis près de 15 ans ? Rendre l'administration système et la cybersécurité accessibles, que vous soyez junior ou confirmé. Plus qu'un métier, l'IT est pour moi une véritable passion. J’accompagne au quotidien les sysadmins et les professionnels de l’IT dans leur montée en compétences et leur veille technique.