QNAP : des NAS Plex signalés compromis, la mise à jour ne suffit pas

Le 6 novembre 2026, QNAP Systems annonce depuis Taipei que certains utilisateurs lui ont signalé un NAS dont le serveur Plex semble compromis, et demande de passer tout de suite à Plex Media Server 1.43.3.10861. Cette construction est déjà dans l’App Center. La mise à jour ne retire pas un programme déjà installé, et QNAP ne publie pas le nombre d’appareils.

Ce que QNAP a constaté le 6 novembre 2026

QNAP Systems, Inc. a publié un avis sur « Plex2Shell », quatre failles du logiciel tiers Plex Media Server. Plex a confirmé, selon cet avis, une exploitation active et large. Le Product Security Incident Response Team de QNAP, le QNAP PSIRT, a reçu des signalements de certains utilisateurs : Plex, sur leur NAS, semble avoir été compromis, et le support technique les accompagne. L’avis ne liste pas de modèles. Il vise un NAS QNAP où Plex, en retard de version, a été joignable depuis Internet.

Quatre failles dans Plex, pas dans QTS

Les identifiants sont CVE-2026-96652, CVE-2026-96654, CVE-2026-96655 et CVE-2026-96656. Ils concernent Plex Media Server 1.43.2 et les versions antérieures. QNAP écrit que chacune, seule, présente un risque limité. Enchaînées, elles permettent à un attaquant distant, sans compte, d’exécuter du code avec les droits du processus Plex. QTS, QuTS hero et les autres systèmes QNAP ne les portent pas : mettre à jour le micrologiciel ne les ferme pas. KLYNLABS a décrit la chaîne le 19 octobre 2026, quand le code public du 16 octobre servait déjà à installer un mineur de Monero.

Selon Plex, cité par l’avis, les serveurs exposés et non mis à jour subissent des attaques étendues depuis cette preuve de concept. Des machines compromises ont fait tourner des mineurs et des logiciels de proxy, qui font passer le trafic d’autres personnes par la connexion de la victime. BleepingComputer, dans un article de Bill Toulas du 6 novembre 2026 à 17 h 04 UTC, rappelle que la Cybersecurity and Infrastructure Security Agency (CISA) a inscrit les quatre failles à son catalogue le 20 octobre 2026. Les agences fédérales civiles américaines avaient trois jours pour passer à la construction 1.43.3.10861 ou plus récente. Zach Main avait signalé les failles à Plex le 27 juillet 2026.

Le numéro à lire dans Plex Web

Le correctif est Plex Media Server 1.43.3, à partir de la construction 1.43.3.10861. QNAP demande d’ouvrir l’App Center, section My Apps, de mettre Plex à jour, puis de lire le numéro dans Plex Web, sous Settings puis General. Des constructions plus récentes arriveront dans l’App Center une fois contrôlées. L’avis dit de ne pas les attendre. Tant que Plex Web n’affiche pas 1.43.3.10861 ou un numéro supérieur, le NAS n’est pas corrigé.

La mise à jour ne retire pas ce qui est déjà là

Si Plex était joignable depuis Internet en version 1.43.2 ou antérieure, QNAP demande de traiter le NAS comme potentiellement compromis. Trois cas sont cités : l’accès distant de Plex était activé, le port 32400 était transféré, ou ce port s’était ouvert par UPnP ou par la configuration automatique du routeur. L’avis du 6 novembre 2026 le formule ainsi :

updating alone will not remove anything an attacker may have installed

La FAQ « Plex2Shell: Check and Remediation FAQ for QNAP NAS Users » décrit la réinstallation propre, le contrôle des indices de compromission et le renouvellement des identifiants Plex et du NAS. Pour un examen par le support, il faut conserver le dossier Plex Logs avant de désinstaller Plex. L’article du 19 octobre notait déjà qu’un fichier déposé dans le dossier Codecs survit à la mise à jour et à l’arrêt d’un mineur.

Couper l’accès distant s’il ne sert à personne

Qui n’atteint pas sa bibliothèque depuis l’extérieur doit désactiver l’accès distant de Plex et ne pas transférer le port 32400. Qui en a besoin doit passer par un VPN, plutôt que par une ouverture directe.

• Passer à Plex Media Server 1.43.3.10861 ou plus récent depuis l’App Center, puis confirmer ce numéro dans Plex Web.

• Si le serveur était joignable depuis Internet en 1.43.2 ou avant, suivre la FAQ : réinstallation propre, indices de compromission, nouveaux identifiants.

• Couper l’accès distant et le port 32400 s’ils ne servent pas. Sinon, n’ouvrir Plex à distance que derrière un VPN.

Sources

• Avis QNAP du 6 novembre 2026, Plex Media Server 1.43.3.10861, signalements et conduite à tenir.

• FAQ QNAP, contrôle et remédiation Plex2Shell, réinstallation propre et indices de compromission.

• BleepingComputer, Bill Toulas, 6 novembre 2026, 17 h 04 UTC, catalogue CISA du 20 octobre 2026 et signalement de Zach Main le 27 juillet 2026.

• KLYNLABS, 19 octobre 2026, chaîne Plex2Shell, mineur Monero et fichier survivant dans Codecs.