Plex2Shell: Aktiv angegriffene Lücken auf NAS

Aktiv angegriffene Plex2Shell-Lücken auf NAS

Unter dem Namen Plex2Shell sind vier Schwachstellen in Plex Media Server zusammengefasst, die inzwischen Ziel aktiver Angriffe sind. QNAP und Synology haben abgesicherte Versionen veröffentlicht. Weil viele Nutzer in Deutschland, Österreich und der Schweiz ihre Medienserver mit offenem Fernzugriff betreiben, wächst das Risiko.

Was die Schwachstellen ermöglichen

Die gravierendste Lücke ist CVE-2026-96656 mit CVSS 7.2 (Risiko „hoch“): Eine unzureichende Pfadkontrolle bei Dateinamen erlaubt es, beliebige Dateien zu schreiben, die beim Laden ausgeführt werden. Zudem startet der Server alle .so-Dateien ohne Signaturprüfung. Dazu kommen zwei Server-Side-Request-Forgery-Lücken (CVE-2026-96652, CVE-2026-96655) und eine fehlerhafte Behandlung kodierter URI-Schemata in searchOne (CVE-2026-96654), über die sich Plugin-Funktionen mit eigenen Parametern aufrufen lassen.

Bekannt sind die Fehler seit Anfang September, im Oktober wurden erste Angriffe gemeldet. Laut Plex nutzen Angreifer gekaperte Server für Krypto-Miner und Proxy-Software.

Welche Versionen sicher sind

QNAP verweist auf Plex Media Server 1.43.3.10861 aus dem App Center; alle früheren Versionen gelten als verwundbar. Betroffen ist der Medienserver, nicht die Betriebssysteme QTS und QuTS hero. Synology meldet die Sicherheitsempfehlung Synology-SA-26:17 mit den Paketversionen 1.43.5.11079-720011079 für DSM 7.4 und 7.3 sowie 1.43.5.11079-700011079 für DSM 7.2.2 und 7.2.1. Workarounds liefern beide Hersteller nicht.

Kompromittierung ausschließen

War Plex in Version 1.43.2 oder älter aus dem Internet erreichbar – über Remote Access, eine Weiterleitung von Port 32400 oder UPnP –, sollte das NAS als potenziell kompromittiert gelten. Dann reicht Patchen nicht: Plex Media Server entfernen und neu installieren, das Gerät prüfen und alle Plex- sowie NAS-Zugangsdaten ändern.

Quellen

• Heise Online: Qnap NAS – attackierte Lücken in Plex Media Server geschlossen, 9. November 2026
• Stadt Bremerhaven: Synology – Sicherheitsupdate schließt Plex2Shell-Lücken, 10. November 2026

Hinweis: Dieser Beitrag wurde mit Unterstützung künstlicher Intelligenz (KI) erstellt.