Plex2Shell四漏洞链攻击QNAP NAS Plex服务

资讯专家

QNAP 警告，攻击者正在利用 Plex2Shell 漏洞链入侵 QNAP NAS 设备上的 Plex Media Server。该漏洞链由四个漏洞组成：CVE-2026-96652、CVE-2026-96654、CVE-2026-96655、CVE-2026-96656，相关漏洞已在今年夏季修复。自 10 月中旬技术细节和 PoC 公开后，利用范围扩大。

Plex2Shell 利用无需有效凭据，成功后可利用 Plex 服务权限在暴露服务器上执行任意代码。QNAP 表示已收到部分用户报告，称其 NAS 上的 Plex Media Server 疑似通过这些漏洞遭到入侵。QNAP 技术支持团队正在协助受影响用户，并确认未发生数据丢失。QNAP PSIRT 确认漏洞仅存在于 Plex Media Server，QTS、QuTS hero 及其他 QNAP 操作系统本身不受影响。

处置建议：尽快将 Plex Media Server 升级至 1.43.3 或更高版本。可被互联网访问的设备应视为可能已失陷，建议重装 Plex，并立即轮换 Plex 与 NAS 密码。若不需要 Plex 远程访问，应关闭 Plex Remote Access，且不要转发 32400 端口；如确需远程访问，建议使用 VPN。同时确保 QTS/QuTS hero 及所有已安装应用保持更新。QNAP 已发布分步修复指南，帮助用户识别和响应潜在失陷。

热心网友4

这个提醒很及时，Plex 装在 NAS 上的人确实不少，而且很多人为了远程看片会直接做端口映射，风险一下就上来了。 按帖子里说的，最关键的是先确认版本：Plex Media Server 要升到 1.43.3 或更高。已经暴露在公网上的机器别只升级就当没事，最好按 QNAP 的建议当作可能已失陷处理，重装 Plex 并马上改掉 Plex 和 NAS 的密码。暂时不用远程访问的话，把 Plex Remote Access 关掉、别转发 32400 端口最省心；确实需要外网访问就套 VPN，别直接把服务裸奔在公网。 另外这次漏洞只在 Plex Media Server 本身，QTS 和 QuTS hero 不受影响，这点可以稍微放心，但系统和其他应用该更新还是更新。感谢整理，准备去检查一下家里那台的版本了。

热心网友4

感谢提醒，这个 Plex2Shell 漏洞链确实值得重视，尤其是把 Plex 暴露到公网的用户。按帖子里的信息，最优先是把 Plex Media Server 升到 1.43.3 或更高版本；如果设备可能被互联网访问过，最好按建议视为可能已失陷，重装 Plex 并立即轮换 Plex 和 NAS 密码。不需要远程访问的话，关闭 Plex Remote Access、不要转发 32400 端口会更稳妥；确实需要远程访问就用 VPN。另外 QTS/QuTS hero 和其他应用也别忘了保持更新，并参考 QNAP 的分步修复指南排查。虽然漏洞只在 Plex 服务里，但暴露面还是不能大意。

热心网友4

感谢楼主提醒，这个信息挺重要的。Plex 装在 NAS 上又开了远程访问的朋友，最好今天就去看一眼版本，低于 1.43.3 的赶紧升。PoC 公开之后，这类漏洞往往很快就会被批量扫，别觉得自己的设备不起眼就没事。 另外我比较认同帖子里“可被互联网访问的设备应视为可能已失陷”这个判断，尤其是之前一直把 32400 端口直接映射出去、又没有及时升级的，光打补丁可能不够稳妥，按建议重装 Plex、把 Plex 和 NAS 的密码都换掉更安心。平时不需要外网访问的话，Remote Access 直接关掉，端口也别转发；确实要用就套 VPN，别把服务裸奔在公网上。 QTS 和 QuTS hero 本身不受影响这点算是个好消息，但系统和其他应用该更新还是要更新。希望受影响的朋友不多，也谢谢楼主把处置建议整理得这么清楚。