QNAP a publié le 6 novembre 2026 un avis de sécurité après avoir constaté des NAS compromis par l’intermédiaire de Plex Media Server, l’application de partage de vidéos très populaire. Les attaquants exploitent un enchaînement de quatre failles surnommé Plex2Shell, corrigé depuis plusieurs semaines mais activement exploité sur les serveurs restés en version vulnérable. Le danger concerne aussi bien les particuliers que les petites entreprises qui utilisent leur NAS comme serveur de fichiers.
Quatre failles qui s’additionnent
D’après le message publié par Plex sur son forum officiel le 19 octobre, la chaîne combine une requête côté serveur sans authentification (CVE-2026-96652), un accès aux fonctions internes via l’interface locale (CVE-2026-96654), la fuite du jeton d’administration du propriétaire (CVE-2026-96655) et l’écriture de fichiers arbitraires dans le dossier des codecs (CVE-2026-96656). Mises bout à bout, elles permettent à un attaquant distant, sans aucun compte, d’exécuter du code avec les droits du processus Plex.
Le calendrier explique l’ampleur du problème. Selon IT-Connect, Plex avait invité ses utilisateurs dès début septembre à passer en version 1.43.3, sans expliquer pourquoi. Une preuve de concept publique a été diffusée le 16 octobre, ce qui a rendu l’attaque accessible à n’importe qui. L’avis de QNAP n’est arrivé qu’ensuite, alors que son support aidait déjà des clients touchés.
Ce que font les attaquants
Plex indique que les machines compromises servent à miner des cryptomonnaies et à faire office de relais : le trafic d’inconnus transite alors par la connexion de la victime. Le premier usage coûte de l’électricité et use le matériel ; le second est plus gênant, car l’adresse IP de l’entreprise peut apparaître dans des activités qu’elle n’a pas commises. IT-Connect précise que les systèmes QTS et QuTS hero ne seraient pas directement attaqués : c’est l’application Plex installée sur le NAS qui sert de porte d’entrée. Le nombre d’appareils touchés n’a pas été communiqué.
Êtes-vous exposé ?
Sont vulnérables les versions 1.43.2 et antérieures de Plex Media Server ; la correction arrive avec la 1.43.3.10861. Le risque est réel si le serveur est joignable depuis Internet, notamment lorsque :
- l’option d’accès distant est activée dans Plex ;
- le port 32400 est redirigé vers le NAS sur le routeur, manuellement ou par UPnP ;
- la configuration automatique du routeur via myQNAPcloud a ouvert l’accès.
Plusieurs signes doivent alerter : des processus inconnus lancés par Plex (des noms comme myawesomeproxy ou mylovelyminer ont été observés), des fichiers .so ou .dll inhabituels dans le dossier des codecs, des connexions sortantes vers le domaine proxystream.st, ou un processeur très sollicité alors qu’aucune vidéo n’est lue.
Mettre à jour ne suffit pas toujours
La première mesure est d’installer la version corrigée. Mais un correctif n’efface pas ce qu’un intrus a déjà déposé. En cas de doute, Plex conseille de réinstaller proprement le serveur plutôt que de réutiliser l’ancien dossier de données, de déconnecter tous les appareils du compte et de changer le mot de passe. Les partages réseau et les identifiants accessibles au compte de service Plex doivent être considérés comme exposés. IT-Connect va plus loin et recommande une réinitialisation complète du NAS. Enfin, si l’accès distant n’est pas indispensable, mieux vaut le couper.
L’épisode illustre un risque fréquent dans les petites structures : un NAS acheté pour stocker des fichiers finit par héberger des applications annexes, rarement mises à jour, et exposées à Internet par commodité. Chaque application ajoutée élargit la surface d’attaque. Un inventaire régulier de ce qui tourne sur le NAS, et de ce qui est joignable de l’extérieur, reste la meilleure prévention.
Questions fréquentes
Quelle version de Plex Media Server installer ?
La version 1.43.3.10861 ou une version plus récente, depuis les paramètres généraux de Plex Web.
Le système du NAS QNAP est-il lui-même vulnérable ?
Selon les éléments publiés, QTS et QuTS hero ne sont pas directement visés : l’attaque passe par l’application Plex.
Comment savoir si mon serveur a été piraté ?
Il faut chercher des processus inconnus lancés par Plex, des fichiers étrangers dans le dossier Codecs, des connexions vers proxystream.st et une charge processeur anormale. L’outil Malware Remover de QNAP peut aussi signaler une infection.
Sources
- Plex2Shell : QNAP fait état de NAS compromis, vous devez patcher ! — IT-Connect, 2026-11-09
- Important security update for Plex Media Server v1.43.2 and earlier — Forum Plex, 2026-10-19