威聯通 QNAP 在 11 月 6 日發布安全通知，證實部分用戶 NAS 上的 Plex Media Server 疑似已透過「Plex2Shell」漏洞鏈遭入侵。漏洞出在第三方套件 Plex Media Server，QTS、QuTS hero 作業系統本身不受影響；但只要 Plex 曾對外開放，光升級並不會清掉攻擊者已植入的程式。
事件經過
- Plex 揭露 Plex Media Server 1.43.2 及更早版本有 4 個漏洞（CVE-2026-96652、CVE-2026-96654、CVE-2026-96655、CVE-2026-96656），合稱 Plex2Shell。
- 依 Plex 說明，公開概念驗證程式（PoC）於 10 月 16 日釋出，之後未更新的對外伺服器遭大規模攻擊，被入侵主機用來跑加密貨幣挖礦與代理程式。
- 11 月 6 日：QNAP 表示已接獲部分用戶通報疑似遭入侵，技術支援正協助處理，並呼籲立即更新。
重點
| 項目 | 內容 |
|---|---|
| 受影響套件 | Plex Media Server 1.43.2 及更早版本 |
| 修正版本 | 1.43.3（1.43.3.10861 或更新），已上架 QNAP App Center |
| 攻擊效果 | 多個漏洞串接後，可免驗證遠端以 Plex 程序權限執行任意程式碼 |
| 已知後果 | 植入挖礦程式與網路代理惡意程式 |
| QNAP 系統 | QTS、QuTS hero 本身不受影響 |
- 單獨每個漏洞風險有限，串在一起才變成免登入遠端執行。
- 若 Plex 在 1.43.2 或更早版本時能從網際網路連到（開了 Plex Remote Access、轉發 32400 埠，或被 UPnP 自動開埠），QNAP 建議把 NAS 視為可能已遭入侵。
對你的實務建議
企業 / IT 管理者
- 盤點公司內所有安裝 Plex 的 NAS（含員工自行架設的），到 App Center 的「我的應用程式」更新，並在 Plex Web「設定 > 一般」確認版本為 1.43.3.10861 以上。
- 曾對外開放的，依 QNAP FAQ 進行乾淨重裝、檢查入侵跡象，並重設 Plex 與 NAS 帳密；需要原廠協助判斷者，移除 Plex 前先保留 Plex Logs 資料夾。
- 在路由器與防火牆關閉 UPnP 自動開埠，封鎖不必要的 32400 埠轉發；遠端存取一律改走 VPN。
- 觀察 NAS 是否有長時間 CPU 高負載或不明對外連線，作為挖礦、代理程式的跡象。
一般用戶
- 家裡 QNAP 有裝 Plex 的，今天就更新到 1.43.3.10861 以上。
- 不需要在外面看片，就關掉 Plex Remote Access；需要的話改用 VPN 連回家。
- 曾經對外開放過，更新後請照 QNAP FAQ 重裝 Plex 並更換密碼，不要以為更新完就沒事。
- QTS／QuTS hero 與其他已安裝的 App 也一併更新。
發表留言