Ce contenu est traduit automatiquement. Veuillez consulter la Clause de non-responsabilité relative à la traduction automatique.

Plex2Shell: Check and Remediation FAQ for QNAP NAS Users

Plex2Shell : FAQ sur la vérification et la remédiation pour les utilisateurs de NAS QNAP

Date de la dernière modification : 2026-11-06

Applicable products

QNAP NAS running Plex Media Server 1.43.2 or earlier.

Overview

Plex2Shell refers to four vulnerabilities in the third-party application Plex Media Server, affecting version 1.43.2 and earlier: CVE-2026-96652, CVE-2026-96654, CVE-2026-96655, and CVE-2026-96656. Each presents limited risk on its own, but chained together they allow an unauthenticated remote attacker to execute arbitrary code with the privileges of the Plex Media Server process.

According to Plex, a public proof of concept was released on October 16, and internet-facing servers that have not been updated have since been subject to widespread attacks. Compromised servers have been used to run cryptocurrency miners and proxy software.

The fixed release, Plex Media Server 1.43.3 (build 1.43.3.10861 and later), is available in the QNAP App Center. The vulnerabilities reside in Plex Media Server only; QNAP operating systems such as QTS and QuTS hero are not themselves affected.

Important: If Plex on your NAS was reachable from the Internet while running 1.43.2 or earlier, updating alone is not enough. Treat the NAS as potentially compromised and complete the clean reinstall, compromise check, and credential reset described below.

Q1. Is my NAS affected?

Only a NAS with Plex Media Server 1.43.2 or earlier installed is affected. QNAP operating systems are not themselves affected, and a NAS without Plex needs no action.

To check the version:

App Center > My Apps shows 1.43.3 for the patched release.

Q2. How do I know whether my Plex was reachable from the Internet?

If any of the following applied while you were running 1.43.2 or earlier, or if you upgraded to a non-affected version only after the PoC was publicly disclosed on October 16, treat the NAS as potentially compromised and complete Q4 to Q8:

Remote Access was enabled in Plex Web > Settings > Remote Access;
your router forwards port 32400;
UPnP is enabled on your router and Plex Remote Access was enabled (Plex opens the port automatically);
Plex was exposed through myQNAPcloud auto router configuration or any other means.

Q3. How do I update?

Go to App Center > My Apps > Plex Media Server > Update.
Confirm that the version is 1.43.3. or later.

If no update is shown, refresh App Center and make sure the NAS can reach the Internet.

Later Plex releases (with other security fixes) will also be published once verified; update again when they appear, but do not wait for them – update now.

Q4. I have updated. Is there anything else to do?

If Plex was never reachable from the Internet: updating is enough; we still recommend the exposure-reduction settings in Q7.
If it was reachable: updating only closes the entry point and does not remove anything already installed. Complete Q5 (clean reinstall), Q6 (indicators of compromise), and Q8 (credential reset), in that order.

Q5. How do I perform a clean reinstall?

If you would like QNAP to help confirm a compromise, first copy the Plex Logs folder (under "Plex Media Server" in the PlexData shared folder) to another location.
Go to App Center > My Apps > Plex Media Server and select Remove.
Use File Station to check whether a "Plex Media Server" folder still exists in the PlexData shared folder. If it does, do not reuse it: at minimum delete everything in the Codecs folder and review Preferences.xml for transcoder-related options you did not set.
Reinstall 1.43.3 or later from App Center.
After reinstalling, do not restore the previous contents of the Codecs folder. Plex will download the components it needs.

Q6. How do I check for indicators of compromise?

Look for any of the following:

Unknown processes started by Plex Media Server, in particular names such as myawesomeproxy, mylovelyminer, or x12345;
unfamiliar .so or .dll files in the Codecs folder;
outbound connections to proxystream.st;
sustained high CPU usage while nothing is playing (see Resource Monitor);
a Malware Remover detection (for example, detection code MR2104).

If you find any of these, do not just remove the suspicious program; other components or persistence mechanisms may remain. Complete the clean reinstall in Q5 and the credential reset in Q8. If you need QNAP's help, preserve the Logs folder first and open a case with Technical Support.

Q7. How do I reduce exposure?

Disable Remote Access in Plex Web > Settings > Remote Access if you do not need it;
remove the port 32400 forwarding rule on your router and disable UPnP; remove any myQNAPcloud auto router configuration for Plex;
use a VPN (for example, QVPN Service on the NAS) when you need remote access;
keep QTS or QuTS hero and all apps up to date, and enable Malware Remover scheduled scans and QuFirewall;
if your device is beyond its software support period and cannot run the latest operating system, review its overall security posture as well.

Q8. Which credentials should I reset?

Plex account: sign out all devices in your Plex account settings first, then change your Plex password. Because the administrator token may have been exposed, changing the password alone is not enough.
NAS accounts: shared folders that Plex Media Server could access, and credentials stored on the NAS, should be treated as potentially exposed. Change the NAS administrator and user passwords, enable two-step verification, and rotate passwords or access keys stored by other services on the NAS (for example, backup jobs and cloud connections).

Q9. Will later Plex versions be published? Should I wait?

Later Plex releases will be published in App Center once verified; they contain other security fixes. Version 1.43.3 already fixes Plex2Shell, so do not wait.

Q10. How do I get help from QNAP?

Open a case with QNAP Technical Support and include your Plex version, whether Plex was reachable from the Internet, and any indicators you found. If you want QNAP to help confirm a compromise, preserve the Logs folder before removing Plex.

Produits applicables

NAS QNAP exécutant Plex Media Server 1.43.2 ou une version antérieure.

Aperçu

Plex2Shell fait référence à quatre vulnérabilités dans l'application tierce Plex Media Server, affectant la version 1.43.2 et antérieures : CVE-2026-96652, CVE-2026-96654, CVE-2026-96655 et CVE-2026-96656. Chacune présente un risque limité individuellement, mais enchaînées, elles permettent à un attaquant distant non authentifié d'exécuter du code arbitraire avec les privilèges du processus Plex Media Server.

Selon Plex, une preuve de concept publique a été publiée le 16 octobre, et les serveurs exposés à Internet qui n'ont pas été mis à jour ont depuis été la cible d'attaques généralisées. Les serveurs compromis ont été utilisés pour exécuter des mineurs de cryptomonnaie et des logiciels proxy.

La version corrigée, Plex Media Server 1.43.3 (build 1.43.3.10861 et versions ultérieures), est disponible dans le App Center QNAP. Les vulnérabilités résident uniquement dans Plex Media Server ; les systèmes d'exploitation QNAP tels que QTS et QuTS hero ne sont pas eux-mêmes affectés.

Important : Si Plex sur votre NAS était accessible depuis Internet alors qu'il fonctionnait en version 1.43.2 ou antérieure, la mise à jour seule n'est pas suffisante. Considérez le NAS comme potentiellement compromis et effectuez la réinstallation propre, la vérification de compromission et la réinitialisation des identifiants décrites ci-dessous.

Q1. Est-ce que mon NAS est affecté ?

Seul un NAS avec Plex Media Server 1.43.2 ou antérieur installé est affecté. Les systèmes d'exploitation QNAP ne sont pas eux-mêmes affectés, et un NAS sans Plex n'a besoin d'aucune action.

Pour vérifier la version :

App Center > Mes applications affiche 1.43.3 pour la version corrigée.

Q2. Comment savoir si mon Plex était accessible depuis Internet ?

Si l'une des conditions suivantes s'appliquait pendant que vous utilisiez 1.43.2 ou antérieur, ou si vous avez mis à jour vers une version non affectée seulement après que le PoC a été divulgué publiquement le 16 octobre, traitez le NAS comme potentiellement compromis et complétez Q4 à Q8 :

L'accès à distance était activé dans Plex Web > Paramètres > Accès à distance ;
votre routeur redirige le port 32400 ;
UPnP est activé sur votre routeur et l'accès à distance Plex était activé (Plex ouvre le port automatiquement) ;
Plex était exposé via myQNAPcloud Configuration automatique du routeur ou par tout autre moyen.

Q3. Comment mettre à jour ?

Allez à App Center > Mes applications > Plex Media Server > Mettre à jour.
Confirmez que la version est 1.43.3. ou ultérieure.

Si aucune mise à jour n'est affichée, actualisez App Center et assurez-vous que le NAS peut accéder à Internet.

Les versions ultérieures de Plex (avec d'autres correctifs de sécurité) seront également publiées une fois vérifiées ; mettez à jour à nouveau lorsqu'elles apparaissent, mais ne les attendez pas – mettez à jour maintenant.

Q4. J'ai mis à jour. Y a-t-il autre chose à faire ?

Si Plex n'a jamais été accessible depuis Internet : la mise à jour suffit ; nous recommandons tout de même les paramètres de réduction d'exposition dans Q7.
Si c'était accessible : la mise à jour ne fait que fermer le point d'entrée et ne supprime rien de déjà installé. Complétez Q5 (réinstallation propre), Q6 (indicateurs de compromission), et Q8 (réinitialisation des identifiants), dans cet ordre.

Q5. Comment effectuer une réinstallation propre ?

Si vous souhaitez que QNAP aide à confirmer une compromission, copiez d'abord le dossier Logs de Plex (sous "Plex Media Server" dans le dossier partagé PlexData ) vers un autre emplacement.
Allez dans App Center > Mes applications > Plex Media Server et sélectionnez Supprimer.
Utilisez File Station pour vérifier si un dossier "Plex Media Server" existe toujours dans le dossier partagé PlexData. S'il existe, ne le réutilisez pas : supprimez au minimum tout ce qui se trouve dans le dossier Codecs et examinez Preferences.xml pour les options liées au transcodeur que vous n'avez pas définies.
Réinstallez 1.43.3 ou version ultérieure depuis App Center.
Après la réinstallation, ne pas restaurer le contenu précédent du dossier Codecs. Plex téléchargera les composants dont il a besoin.

Q6. Comment puis-je vérifier les indicateurs de compromission ?

Recherchez l'un des éléments suivants :

Processus inconnus lancés par Plex Media Server, en particulier des noms tels que myawesomeproxy, mylovelyminer, ou x12345 ;
fichiers .so ou .dll inconnus dans le dossier Codecs ;
connexions sortantes vers proxystream.st ;
utilisation élevée et soutenue du CPU alors que rien n'est en cours de lecture (voir Moniteur de ressources) ;
une détection par Malware Remover (par exemple, code de détection MR2104 ).

Si vous trouvez l'un de ces éléments, ne vous contentez pas de supprimer le programme suspect ; d'autres composants ou mécanismes de persistance peuvent subsister. Complétez la réinstallation propre dans Q5 et la réinitialisation des identifiants dans Q8. Si vous avez besoin de l'aide de QNAP, conservez d'abord le dossier Logs et ouvrez un dossier avec le support technique.

Q7. Comment puis-je réduire l'exposition ?

Désactivez l'accès à distance dans Plex Web > Paramètres > Accès à distance si vous n'en avez pas besoin ;
supprimez la règle de redirection du port 32400 sur votre routeur et désactivez UPnP ; supprimez tout Configuration automatique du routeur myQNAPcloud pour Plex ;
utilisez un VPN (par exemple, QVPN Service sur le NAS) lorsque vous avez besoin d'un accès à distance ;
gardez QTS ou QuTS hero et toutes les applications à jour, et activez les analyses programmées de Malware Remover et QuFirewall ;
si votre appareil est au-delà de sa période de support logiciel et ne peut pas exécuter le dernier système d'exploitation, examinez également sa posture de sécurité globale.

Q8. Quels identifiants dois-je réinitialiser ?

Compte Plex : déconnectez d'abord tous les appareils dans les paramètres de votre compte Plex, puis changez votre mot de passe Plex. Comme le jeton administrateur peut avoir été exposé, changer uniquement le mot de passe ne suffit pas.
Comptes NAS : les dossiers partagés auxquels Plex Media Server pouvait accéder, et les identifiants stockés sur le NAS, doivent être considérés comme potentiellement exposés. Changez le administrateur du NAS et les mots de passe des utilisateurs, activez la vérification en deux étapes, et faites tourner les mots de passe ou les clés d'accès stockés par d'autres services sur le NAS (par exemple, les tâches de sauvegarde et les connexions cloud).

Q9. Des versions ultérieures de Plex seront-elles publiées ? Dois-je attendre ?

Des versions ultérieures de Plex seront publiées dans App Center une fois vérifiées ; elles contiennent d'autres correctifs de sécurité. La version 1.43.3 corrige déjà Plex2Shell, donc n'attendez pas.

Q10. Comment obtenir de l'aide de QNAP ?

Ouvrez un dossier avec Support technique QNAP et incluez votre version de Plex, si Plex était accessible depuis Internet, et tout indicateur que vous avez trouvé. Si vous souhaitez que QNAP aide à confirmer un compromis, conservez le dossier Logs avant de supprimer Plex.

Lectures complémentaires

Est-ce que cet article a été utile ?

Oui. Non.

67% des utilisateurs pensent que ces informations sont utiles.

Besoin d'aide supplémentaire?

Posez votre question dans la communauté QNAP. Le personnel QNAP et des utilisateurs expérimentés vous répondront.

Demander à la communauté

Veuillez nous indiquer comment améliorer cet article :

Il manque des informations importantes dans l’article
Les solutions de l’article ne fonctionnent pas
L’article est trop compliqué
L’article contient des informations inexactes
L’article est désuet

Si vous souhaitez fournir un commentaire supplémentaire, veuillez l’inclure ci-dessous.

Vos commentaires nous aident à améliorer cet article. Nous ne pouvons pas répondre aux messages envoyés via ce formulaire.

Comment pouvons-nous améliorer cet article?