QNAP: Mutmaßlich kompromittierte NAS über Plex2Shell, Plex neu installieren
QNAP berichtet am 6. November 2026 von Kundenmeldungen über mutmaßlich kompromittierte Plex Media Server auf NAS-Geräten durch die Lückenkette Plex2Shell. QTS und QuTS hero sind nicht betroffen, Plex 1.43.3.10861 schließt die Lücken. War Plex aus dem Internet erreichbar, rät QNAP zur Neuinstallation von Plex, Prüfung auf Spuren und neuen Zugangsdaten.
QNAP hat am 6. November 2026 eine Sicherheitsmeldung zu Plex2Shell veröffentlicht: Mehrere Kunden meldeten, dass Plex Media Server auf ihrem NAS offenbar über die Schwachstellenkette kompromittiert wurde. Der technische Support von QNAP hilft den betroffenen Nutzern. Die korrigierte Version 1.43.3.10861 steht im QNAP App Center bereit.
Betroffen sind QNAP-NAS, auf denen Plex Media Server 1.43.2 oder älter läuft. QTS, QuTS hero und andere QNAP-Betriebssysteme haben die Lücken laut QNAP nicht, ein NAS ohne Plex braucht keine Maßnahme. War Plex auf einem solchen Gerät aus dem Internet erreichbar, reicht ein Update nicht: QNAP empfiehlt dann eine saubere Neuinstallation von Plex, eine Suche nach Spuren und neue Zugangsdaten.
Was ist passiert?
Plex2Shell bezeichnet vier Lücken in Plex Media Server bis 1.43.2: CVE-2026-96652, CVE-2026-96654, CVE-2026-96655 und CVE-2026-96656. Einzeln sind sie laut QNAP begrenzt gefährlich, verkettet erlauben sie einem nicht angemeldeten Angreifer, Code mit den Rechten des Plex-Prozesses auszuführen. QNAP verweist auf Plex: Seit der Veröffentlichung eines Proof of Concept am 16. Oktober würden ungepatchte, aus dem Internet erreichbare Server breit angegriffen, übernommene Server liefen danach mit Kryptominern und Proxy-Software. S-EDV hat über die Angriffe auf Plex im Oktober berichtet. Neu ist, dass QNAP Meldungen über mutmaßlich kompromittierte Geräte seiner Kunden öffentlich macht und eine Anleitung zur Bereinigung veröffentlicht hat.
Wer ist betroffen?
Als möglicherweise kompromittiert gilt ein NAS nach QNAP, wenn Plex 1.43.2 oder älter lief und mindestens einer dieser Punkte zutraf: Fernzugriff in Plex Web aktiviert, Portweiterleitung für Port 32400 im Router, UPnP am Router zusammen mit Plex-Fernzugriff oder eine Freigabe über die automatische Routerkonfiguration von myQNAPcloud oder auf anderem Weg. Wurde Plex erst nach dem 16. Oktober aktualisiert, rät QNAP ebenfalls dazu, das NAS als möglicherweise kompromittiert zu behandeln. War Plex nie aus dem Internet erreichbar, genügt laut QNAP das Update.
Wie kritisch ist das?
Hoch für alle, die Plex vom NAS aus ins Internet freigegeben haben. Der Angriff braucht keine Anmeldung, und der Plex-Prozess hat Zugriff auf die Freigaben, die Plex lesen darf. Freigaben, auf die Plex zugreifen konnte, und auf dem NAS gespeicherte Zugangsdaten sollen laut QNAP als möglicherweise offengelegt gelten. Ein Update schließt laut QNAP nur den Einstiegspunkt und entfernt nichts, was ein Angreifer schon installiert hat. Wie viele QNAP-Geräte betroffen sind, nennt der Hersteller nicht.
Was sollten Admins jetzt tun?
- Version prüfen: Im App Center unter „My Apps“ muss Plex Media Server 1.43.3 oder neuer stehen, in Plex Web unter „Settings“ und „General“ 1.43.3.10861 oder neuer.
- Ohne Internetfreigabe: Update einspielen, danach Fernzugriff und Portweiterleitung abgeschaltet lassen.
- Mit Internetfreigabe: Für eine Prüfung durch QNAP zuerst den Ordner „Logs“ unter „Plex Media Server“ in der Freigabe PlexData sichern, dann Plex entfernen. Bleibt in PlexData ein Ordner „Plex Media Server“ zurück, mindestens den Inhalt von „Codecs“ löschen und Preferences.xml auf fremde Transcoder-Optionen prüfen. Danach 1.43.3 oder neuer installieren und den alten Codecs-Ordner nicht zurückspielen.
- Spuren suchen: unbekannte Prozesse unter Plex wie myawesomeproxy, mylovelyminer oder x12345, fremde .so- oder .dll-Dateien im Ordner Codecs, Verbindungen zu proxystream.st, anhaltend hohe CPU-Last ohne Wiedergabe und Funde des Malware Remover, etwa MR2104. Bei einem Fund nicht nur das verdächtige Programm löschen, sondern Plex wie oben neu installieren.
- Zugangsdaten erneuern: im Plex-Konto erst alle Geräte abmelden, dann das Passwort ändern, weil das Administrator-Token betroffen sein kann. Passwörter für NAS-Admin und Benutzer ändern, Zwei-Faktor-Anmeldung einschalten, gespeicherte Schlüssel für Backup-Jobs und Cloud-Verbindungen tauschen.
- Angriffsfläche verkleinern: Port 32400 nicht weiterleiten, UPnP abschalten, die automatische Routerkonfiguration von myQNAPcloud für Plex entfernen, für den Fernzugriff ein VPN nutzen, QTS oder QuTS hero aktuell halten, Malware Remover regelmäßig laufen lassen und QuFirewall einschalten.
Einordnung für Unternehmen
Plex ist ein Medienserver und keine typische Firmenanwendung. Der Fall zeigt trotzdem, warum Zusatz-Apps auf einem NAS so ernst zu nehmen sind wie das Betriebssystem: Die Lücke steckt nicht in QTS, der Schaden trifft trotzdem die Daten auf dem Gerät. Ein NAS mit offenen Diensten im Internet gehört nach unserer Einschätzung zu den naheliegenden Zielen. Wer Medien oder Daten von unterwegs braucht, ist mit einem VPN deutlich besser bedient als mit einer Portweiterleitung.
Passende Anleitungen auf S-EDV
- WireGuard-VPN für Homeoffice und Standortvernetzung einrichten
- wg-easy mit Docker installieren: WireGuard-VPN mit Web-UI in einem Container
