Er is opnieuw een keten van kwetsbaarheden in het vizier van aanvallers: Plex2Shell op QNAP. De opslag- en netwerkleverancier QNAP waarschuwt dat dreigingsactoren Plex Media Server op QNAP NAS-apparaten misbruiken via een specifieke reeks fouten, waardoor getroffen systemen mogelijk worden overgenomen.
Het belangrijkste is snelheid: Plex Media Server is in de zomer gepatcht, maar de actieve exploitatie startte later. QNAP adviseert gebruikers daarom om direct te controleren of ze de juiste versie draaien en om bij mogelijke besmetting gericht te herstellen.
Wat is Plex2Shell precies?
Plex2Shell is geen losse bug, maar een keten van vier kwetsbaarheden binnen Plex Media Server. Het gaat om CVE-2026-96652, CVE-2026-96654, CVE-2026-96655 en CVE-2026-96656. Volgens QNAP zijn deze fouten eerder dit jaar gepatcht, maar daarna zijn de details en Proof-of-Concept (PoC)-code openbaar geworden.
Vanaf mid-oktober nam de exploitatie volgens de waarschuwing in de praktijk toe. Dat is precies het moment waarop aanvallers de combinatie waarschijnlijk op grotere schaal konden inzetten.
Waarom is dit gevaarlijk op QNAP NAS?
QNAP meldt dat aanvallen met Plex2Shell geen geldige inloggegevens vereisen. Als de kwetsbaarheden worden misbruikt, kunnen aanvallers in de getroffen omgeving willekeurige code uitvoeren met de privileges van de Plex-service.
Dat maakt het risico niet alleen theoretisch: systemen die via het internet bereikbaar zijn, kunnen daardoor doelwit worden zonder dat de aanvaller eerst hoeft te “inloggen” zoals een gewone gebruiker dat doet.
Is QNAP QTS of QuTS hero ook kwetsbaar?
Volgens QNAP liggen de problemen uitsluitend bij Plex Media Server als derdepartij-app op de NAS. De fabrikant benadrukt dat QTS, QuTS hero en andere QNAP-besturingssystemen zelf niet zijn beïnvloed door deze specifieke kwetsbaarheden.
Met andere woorden: de kern van het probleem zit in de Plex-toepassing die via het officiële App Center op QNAP draait.
Zijn er al compromissen gemeld?
QNAP geeft aan meldingen te hebben ontvangen van gebruikers van wie de Plex Media Server op hun NAS mogelijk was gecompromitteerd. De QNAP Technical Support helpt daarbij, en QNAP stelt dat er geen dataverlies is vastgesteld.
Daarnaast bevestigt het QNAP Product Security Incident Response Team dat de genoemde kwetsbaarheden alleen in Plex Media Server aanwezig zijn en niet in QNAP’s eigen besturingslagen.
Wat moet je nu doen? (update, controle en herstel)
Om Plex2Shell op QNAP tegen te gaan, komt QNAP met een duidelijk actieplan. Hieronder staan de belangrijkste stappen die je als gebruiker vandaag nog kunt oppakken.
1) Update Plex Media Server naar een veilige versie
QNAP adviseert om zo snel mogelijk te upgraden naar Plex Media Server versie 1.43.3 of later. Doe dit voordat je andere controles uitvoert: een patch vermindert de kans dat een aanvaller nog verder misbruik kan maken.
2) Behandel internet-toegang als een mogelijk compromismoment
Als je Plex (en daarmee de Plex Media Server) vanuit het internet benadert kan worden, stelt QNAP dat je het apparaat in principe als mogelijk gecompromitteerd moet beschouwen.
In dat geval adviseert QNAP niet alleen te updaten, maar ook Plex te verwijderen en opnieuw te installeren. Daarnaast moeten zowel de Plex-wachtwoorden als die van de NAS direct worden geroteerd.
3) Zet remote toegang uit als je het niet nodig hebt
Gebruik je geen remote toegang tot Plex? Zet Plex Remote Access uit en voorkom dat poort 32400 wordt doorgestuurd.
Zo verlaag je het aanvalsoppervlak: er is dan minder reden voor een aanvaller om verbindingen richting je Plex-service te proberen.
4) Heb je remote toegang nodig? Gebruik een VPN
Moet je Plex wel extern kunnen bereiken? QNAP adviseert om dan een VPN te gebruiken in plaats van poorten rechtstreeks open te zetten. Daarmee beperk je de toegang tot alleen verkeer van clients die via de beveiligde tunnel binnenkomen.
5) Zorg dat ook QTS/QuTS hero en apps up-to-date zijn
Tot slot benadrukt QNAP dat je QTS of QuTS hero en alle geïnstalleerde apps actueel moet houden. Dat is geen “extraatje”: het voorkomt dat je problemen verschuift van Plex naar andere verouderde componenten.
Hoe herken je een mogelijk probleem?
QNAP publiceert een stap-voor-stap remediatiehandleiding om gebruikers te helpen bepalen hoe ze moeten reageren op een mogelijke besmetting. Omdat de waarschuwing uitgaat van scenario’s waarin de Plex-service misbruikt is, komt het neer op een praktische aanpak: patch, herinstallatie wanneer nodig, controleer accounts en draai de wachtwoorden om.
Ook als je nog niet met zekerheid weet dat er misbruik is gemaakt, is het verstandig om de aanbevelingen rond internet-bereik en wachtwoordrotatie serieus te nemen.
Praktische security-checklijst voor Plex-gebruikers op NAS
- Update Plex Media Server naar 1.43.3 of later.
- Controleer of Plex bereikbaar is via het internet.
- Is het systeem extern benaderbaar: overweeg herinstallatie van Plex.
- Roteer wachtwoorden voor zowel Plex als de NAS.
- Als remote toegang niet nodig is: schakel Plex Remote Access uit en voorkom doorsturen van poort 32400.
- Als remote toegang wél nodig is: gebruik VPN in plaats van directe poorttoegang.
- Update ook QTS/QuTS hero en alle andere apps.
Vergelijkbare dreigingen: waarom “patchen” niet genoeg is
Deze casus laat zien hoe snel kwetsbaarheden van “gepatcht” naar “actief misbruikt” kunnen verschuiven. Dat gebeurt niet alleen bij Plex. In eerdere berichtgeving zag je bijvoorbeeld dat aanvallen via publieke services en authenticatie/omzeilingspaden ook in hoog tempo konden doorbreken.
Wie zijn NAS-omgeving strak wil houden, doet er daarom goed aan om ook andere bekende aanvallen in dezelfde categorie mee te nemen in het bredere onderhoud. Een voorbeeld is de waarschuwingsanalyse rond SSHole-bypass in OpenSSH, waar het belang van snelle mitigatie en goede configuratie terugkomt.
Conclusie
Plex2Shell op QNAP is een concrete, door aanvallers gebruikte aanvalsketen op Plex Media Server. Omdat misbruik geen geldige inlog nodig heeft en code-uitvoering mogelijk maakt via de Plex-service, is het advies van QNAP helder: update direct, beperk of beveilig remote toegang en draai wachtwoorden om bij mogelijke blootstelling.
Heb je Plex extern beschikbaar staan? Ga dan uit van een mogelijke besmetting en volg het herstelpad: patchen, herinstallatie waar nodig, en toegang via VPN in plaats van open port forwarding. Zo verklein je het risico op verdere schade aanzienlijk.
Bron: https://www.securityweek.com/plex2shell-exploited-against-qnap-nas-users/
