Plex2Shell ya se usa para entrar en NAS de QNAP

Quien tenga Plex Media Server en un NAS de QNAP y lo tenga accesible desde internet debería actualizarlo ya y dar por hecho que puede estar comprometido. QNAP avisó el viernes de que hay atacantes aprovechando Plex2Shell, una cadena de cuatro vulnerabilidades en Plex, para colarse en estos equipos, según recoge SecurityWeek.

Qué es Plex2Shell

Son cuatro fallos encadenados en Plex Media Server: CVE-2026-96652, CVE-2026-96654, CVE-2026-96655 y CVE-2026-96656. Se corrigieron este verano, pero, según SecurityWeek, la explotación masiva empezó a mediados de octubre, después de que se publicaran los detalles técnicos y código de prueba de concepto.

El ataque no necesita credenciales válidas y permite ejecutar código arbitrario en los servidores expuestos con los privilegios del servicio de Plex. En los NAS de QNAP, Plex se instala como aplicación de terceros desde el App Center oficial.

«QNAP ha recibido informes de algunos usuarios según los cuales Plex Media Server en su NAS parece haber sido comprometido a través de estas vulnerabilidades», explica la compañía. Asegura que su soporte técnico está ayudando a los afectados, que ha confirmado que no ha habido pérdida de datos y que los fallos están solo en Plex: sus sistemas QTS, QuTS hero y demás no están afectados.

Qué hay que hacer

Las recomendaciones de QNAP son estas:

• Actualizar Plex Media Server a la versión 1.43.3 o posterior cuanto antes.
• Si el NAS es accesible desde internet, considerarlo potencialmente comprometido y reinstalar Plex.
• Cambiar de inmediato las contraseñas de Plex y del propio NAS.
• Si no hace falta el acceso remoto, desactivar Plex Remote Access y no redirigir el puerto 32400. Si hace falta, usar una VPN.
• Mantener al día QTS o QuTS hero y todas las aplicaciones instaladas.

QNAP ha publicado además una guía paso a paso para detectar y responder a posibles intrusiones.

Lo que falta por saber

Ni QNAP ni SecurityWeek han detallado cuántos equipos están afectados, qué hacen los atacantes una vez dentro ni qué señales concretas delatan una intrusión, más allá de remitir a esa guía. Tampoco está claro si la explotación alcanza a instalaciones de Plex en otros equipos.

Lo que sí queda claro es la lección de siempre: un NAS doméstico con puertos abiertos a internet depende de que cada aplicación que lleva dentro esté parcheada a tiempo. Meses entre el parche y los ataques no bastaron para que mucha gente actualizara.

Fuente: SecurityWeek