攻击者正在利用Plex2Shell漏洞链，大举攻击暴露在互联网上的NAS设备
QNAP敦促用户立即更新，旧版本Plex Media Server存在远程代码执行漏洞，可导致设备被完全控制
在打补丁之前已暴露在互联网上的系统可能已遭入侵，需要重置凭证并进行全面修复
QNAP发布了一份安全公告，警告用户应立即在其网络连接存储（NAS）设备上安装最新版本的Plex Media Server应用。
公告指出，旧版本正被恶意利用，攻击者正在野外大规模滥用令人头疼的Plex2Shell漏洞链。
该公司在公告中表示："Plex已确认这些漏洞正在被广泛且积极地利用。QNAP强烈建议所有在QNAP NAS上运行Plex Media Server的用户立即更新，并按照以下说明检查其设备。"
什么是QNAP NAS，它与Plex的漏洞有什么关系
网络连接存储设备是一种专用系统，允许用户在网络中存储、备份和共享文件。本质上，它是一系列连接到本地网络、便于访问的硬盘驱动器。无论是个人用户还是企业，都常常将其作为订阅制云存储模式的替代方案，有时甚至用来流式播放音频和视频文件。
实现这一功能的常用方式之一，是借助名为Plex Media Server的软件应用，该应用允许用户整理和流式播放自己收藏的电影、电视节目、音乐及其他多媒体内容。用户只需在NAS上安装Plex，并在智能手机等设备上安装兼容的播放应用，就能通过本地网络或互联网远程访问自己的媒体库。
而正是最后这一环节——通过互联网访问——最近出现了问题。
2026年11月初，Plex披露已修复Media Server 1.43.2及更早版本中的四个漏洞：CVE-2026-96652、CVE-2026-96654、CVE-2026-96655和CVE-2026-96656。单独来看，这四个漏洞都相当危险；一旦被组合利用，便能让未经身份验证的攻击者以最高权限远程执行任意代码。换句话说，攻击者可以借助Plex Media Server接管QNAP NAS，并在需要时访问并窃取其中存储的敏感内容。这四个漏洞被统称为"Plex2Shell"。
Plex于2026年9月发布了修复程序，几周后一个概念验证（PoC）漏洞利用代码便被公开。此后，多家安全公司报告称，Plex2Shell在野外被广泛滥用，主要用于安装代理软件和加密货币挖矿程序。考虑到大多数挖矿程序都需要强大的GPU运算能力，后者的实际收益可能有限，但前者却可能带来可观利润。
修补Plex
代理网络能让网络犯罪分子将流量通过合法的住宅网络基础设施进行转发，这不仅帮助他们隐藏身份和位置，还能借此发起破坏性的分布式拒绝服务（DDoS）攻击。因此，住宅代理服务始终需求旺盛，能为其运营者带来丰厚收入。
美国网络安全和基础设施安全局（CISA）于10月20日将这四个漏洞全部列入其"已知被利用漏洞"（KEV）目录，并要求联邦民事行政部门（FCEB）机构在短短三天内完成修复或停止使用Plex。
尽管如此，Plex已在Media Server 1.43.3版本（build 1.43.3.10861）中修复了这些漏洞，用户现可通过QNAP的App Center下载该版本。该公司确认，这些漏洞仅存在于Plex Media Server中，QTS和QuTS操作系统本身未受影响。不过Plex表示，如果NAS设备在运行旧版本软件期间可从互联网访问，那么仅仅更新软件是不够的，该设备应被视为已遭入侵。
受影响用户被建议进行彻底的重新安装、入侵排查以及凭证重置。
目前很难确切统计出有多少台QNAP NAS设备暴露在互联网上，但根据BitSight的数据，目前这一数字高达数万台。这并不意味着所有这些设备都存在漏洞（许多设备可能根本没有运行Plex Media Server），但理论上的攻击面相当庞大。
