ESTOY BAJO UN CIBER ATAQUE

Alerta

Logo de QNAP

Alerta 2026-146 Explotación activa de Plex2Shell en NAS QNAP

Producto(s) afectado(s): 

ProductoVersiones afectadas
Plex Media ServerAnteriores a 1.43.3.10861 (QNAP indica 1.43.2 y anteriores)

Las fallas están en Plex Media Server, no en QTS ni QuTS hero. Afectan también instalaciones en Windows, macOS, Linux, Docker y otros NAS con el mismo umbral de versión.

Descripción

Se ha reportado la explotación activa de una cadena de vulnerabilidades en Plex Media Server, conocida como Plex2Shell (CVE-2026-96652, CVE-2026-96654, CVE-2026-96655 y CVE-2026-96656). El 06/11/2026 QNAP indicó que recibió reportes de usuarios cuyos NAS con Plex Media Server parecen haber sido comprometidos a través de estas fallas. Las vulnerabilidades residen en la aplicación de terceros; QNAP indicó que QTS, QuTS hero y otros sistemas operativos del fabricante no están afectados por sí mismos.

Por separado, cada CVE presenta un riesgo individual limitado: CVE-2026-96652 y CVE-2026-96655 tienen CVSS 4.3, media; CVE-2026-96654 tiene CVSS 6.5, media; CVE-2026-96656 tiene CVSS 7.2, alta. Encadenadas, según Plex y QNAP, permiten a un atacante remoto sin autenticación ejecutar código arbitrario con los privilegios del proceso de Plex Media Server. No se afirma aquí que cada CVE por separado sea RCE sin autenticación ni que obtenga privilegios de root o administrador en todos los despliegues.

Según Plex, las fallas se explotan de forma activa y amplia desde la publicación de una prueba de concepto el 16/10/2026; servidores accesibles por Internet sin actualizar se han usado para ejecutar mineros de criptomonedas y software proxy. Los cuatro CVE figuran en catálogos de vulnerabilidades explotadas conocidas desde el 20/10/2026. El mismo umbral de versión afecta a Plex Media Server en Windows, macOS, Linux, Docker y otros NAS, no solo a QNAP.

El proveedor de Plex indica actualizar a 1.43.3.10861 o posterior y validar el build instalado: la etiqueta “1.43.3” sola no basta. QNAP resume las versiones afectadas como 1.43.2 y anteriores. Actualizar no elimina cargas útiles ya instaladas. Si el servidor estuvo expuesto a Internet con una versión vulnerable (por ejemplo, Remote Access, reenvío del puerto 32400 o apertura automática por UPnP), según Plex debe tratarse como potencialmente comprometido.

Mitigación

Mientras se actualiza y se evalúa el compromiso, se recomienda:

  • Si no se necesita acceso remoto a Plex, deshabilitar Remote Access y no reenviar el puerto 32400; si se necesita, preferir VPN.
  • Mantener QTS o QuTS hero y las aplicaciones instaladas al día.
  • Si se sospecha compromiso, preservar la carpeta de registros de Plex antes de eliminar la aplicación y abrir un caso con el soporte del fabricante del NAS cuando corresponda.
  • Cerrar sesión en todos los dispositivos de la cuenta Plex y cambiar la contraseña; tratar como potencialmente expuestos los recursos a los que podía acceder la cuenta de servicio de Plex (recursos compartidos montados y credenciales en la misma máquina).

Detección

Los indicadores siguientes proceden del aviso oficial de Plex. Son señales para investigar, no prueba concluyente por sí solas; los nombres de proceso son ejemplos y no una lista exhaustiva. No se hallaron hashes oficiales en los avisos de Plex y QNAP efectivamente leídos.

  • Procesos hijos de Plex desconocidos, por ejemplo myawesomeproxy, mylovelyminer o x12345.
  • Archivos .so o .dll desconocidos en la carpeta Codecs de Plex.
  • Opciones de transcodificación en Preferences.xml que el administrador no configuró.
  • Conexiones salientes hacia proxystream[.]st (dominio publicado por Plex; no se visitó).
  • Uso elevado y sostenido de CPU sin reproducción de contenido (señal inespecífica).
  • Exposición previa por el puerto 32400, Remote Access o UPnP: son condiciones de exposición, no indicadores de compromiso por sí mismas.

Solución

La solución preventiva consiste en actualizar Plex Media Server a la versión 1.43.3.10861 o posterior (en NAS QNAP, desde App Center > My Apps) y confirmar el build en Plex Web, en Settings > General. Separar el parche preventivo de la remediación de un posible compromiso: si el servidor estuvo expuesto con una versión vulnerable, actualizar no limpia lo que un atacante haya podido instalar. Según Plex, ante indicios de compromiso o si no se puede descartar, reconstruir el servidor con una instalación limpia sin reutilizar el directorio de datos antiguo de Plex; como mínimo, vaciar la carpeta Codecs y revisar Preferences.xml. QNAP remite a su FAQ de comprobación y remediación para los pasos en NAS.

Para info sobre cómo actualizar, visita el siguiente enlace:

https://www.qnap.com/en/security-news/2026/qnap-security-notice-plex-media-server-vulnerabilities-plex2shell-update-to-1-43-3-10861-or-later-immediately

Información adicional: