Ungepatchte Plex-Media-Server werden aktiv angegriffen. QNAP hat am 6. November 2026 vor der als Plex2Shell bezeichneten Schwachstellenkette gewarnt; Synology veröffentlichte am 8. November eigene Korrekturstände für Plex-Pakete auf DiskStation-Systemen. Betroffen sind Plex-Media-Server bis einschließlich Version 1.43.2. Die vier kombinierten Fehler können über das Internet die Ausführung fremden Codes mit den Berechtigungen des Plex-Dienstes ermöglichen.
Plex bestätigt in seiner offiziellen Sicherheitsmeldung eine öffentliche Angriffsvorlage seit dem 16. Oktober und eine breite aktive Ausnutzung. Auf kompromittierten Servern wurden unter anderem Programme zum Schürfen von Kryptowährungen und Proxy-Dienste beobachtet. QTS, QuTS hero und DSM sind nicht durch dieselben Plex-Fehler als Betriebssysteme betroffen; das Risiko entsteht durch die installierte Drittanbieteranwendung.
Vier Sicherheitslücken lassen sich kombinieren
Die vier CVEs CVE-2026-96652, CVE-2026-96654, CVE-2026-96655 und CVE-2026-96656 betreffen unter anderem interne Plex-Funktionen, die Offenlegung eines Administrator-Tokens und den Umgang mit Dateien im Codecs-Verzeichnis. Erst die Verkettung der Fehler ermöglicht laut Plex einen Angriff ohne Anmeldung. Entscheidend ist, ob die alte Plex-Installation zur betroffenen Zeit aus dem Internet erreichbar war.
Ein NAS ohne Plex benötigt wegen dieser Plex-spezifischen Schwachstellen kein gesondertes Update. Bei einer installierten Plex-Version bis 1.43.2 sollten Betreiber dagegen den Versionsstand und die frühere Freigabe prüfen: Dazu zählen aktivierter Plex-Fernzugriff, direkte Portweiterleitungen – häufig TCP 32400 –, automatisch über UPnP geöffnete Ports und entsprechende Routerfreigaben.
QNAP: Plex im App Center aktualisieren
Auf QNAP-NAS ist Plex Media Server 1.43.3.10861 der erste gegen diese Angriffskette korrigierte Build. QNAP stellte ihn über das App Center bereit; seit dem 9. November wurde dort auch Plex 1.43.5 angeboten. Die Installation sollte über App Center → Meine Apps → Plex Media Server → Aktualisieren erfolgen. Anschließend ist der Versionsstand in den allgemeinen Einstellungen von Plex Web zu kontrollieren.
Offizielle Update- und Prüfhinweise: QNAP: Plex2Shell – Überprüfung und Behebung für NAS-Benutzer. Die deutschsprachige Hersteller-FAQ beschreibt außerdem Maßnahmen für möglicherweise kompromittierte Systeme, von einer sauberen Neuinstallation bis zum Zurücksetzen betroffener Zugangsdaten.
Synology nennt eigene Paket-Builds für DSM
Synologys Sicherheitsmeldung SA-26:17 nennt für Plex auf DSM 7.4 und 7.3 die korrigierte Paketversion 1.43.5.11079-720011079. Für DSM 7.2.2 und 7.2.1 gilt 1.43.5.11079-700011079 oder neuer. Die zusätzlichen Ziffern unterscheiden die für die jeweilige DSM-Plattform bereitgestellten Paket-Builds. Betreiber müssen deshalb den tatsächlich installierten Paketstand prüfen, nicht nur die Plex-Hauptversionsnummer.
Offizielle Synology-Updateinformation: Synology-SA-26:17 – Plex Media Server (Plex2Shell).
Bei zuvor öffentlichem Plex-Zugriff reicht Patchen nicht
Ist ein NAS mit einer verwundbaren Plex-Version aus dem Internet erreichbar gewesen, sollte es laut QNAP als potenziell kompromittiert behandelt werden. Das Sicherheitsupdate unterbindet die bekannte Angriffsmöglichkeit, beseitigt jedoch nicht zwangsläufig bereits installierte Schadsoftware. QNAP empfiehlt die Sicherung relevanter Plex-Protokolle vor einer Bereinigung, eine saubere Neuinstallation ohne Übernahme alter Codecs und die Kontrolle auf auffällige Prozesse, fremde Bibliotheken oder ungewöhnlich hohe Auslastung.
Anschließend sind insbesondere Plex-Sitzungen, Plex-Zugangsdaten sowie Zugangsdaten und Schlüssel zu berücksichtigen, auf die der Plex-Dienst zugreifen konnte. Dazu können NAS-Konten, freigegebene Ordner und auf dem System hinterlegte Cloud- oder Backup-Zugangsdaten gehören. Das ist kein Beleg, dass alle Daten tatsächlich abgeflossen sind; der Zugriffsumfang muss in jeder betroffenen Installation überprüft werden.
Wer extern auf seine Medienbibliothek zugreifen möchte, sollte eine geeignete VPN-Verbindung anstelle eines offen weitergeleiteten Plex-Ports prüfen. Ist kein Fernzugriff erforderlich, sollten Plex Remote Access sowie nicht mehr benötigte Portweiterleitungen und automatische Freigaben deaktiviert werden. Hinweise und die konkrete Reihenfolge der Prüf- und Bereinigungsschritte enthält die oben verlinkte Herstelleranleitung von QNAP.
Werbung
(**) UVP: Unverbindliche Preisempfehlung
Preise inkl. MwSt., zzgl. Versandkosten