QNAP hat bekannt gegeben, dass Berichte über die Kompromittierung seiner NAS-Geräte (Network Attached Storage) durch die Ausnutzung einer Sicherheitslückenkette namens „Plex2Shell“ vorliegen. Diese Angriffe zielen auf den Plex Media Server ab, der auf den Speichergeräten installiert ist, und schaffen eine Sicherheitslücke, die zu unbefugtem Zugriff auf persönliche Daten und gespeicherte Dateien führen kann.
Details zu den Schwachstellen und Zeitplan
„Plex2Shell“ besteht aus einer Kette von vier Sicherheitslücken, die unter den Kennungen (CVE-2026-96652, CVE-2026-96654, CVE-2026-96655 und CVE-2026-96656) geführt werden. Der Sicherheitsforscher Zach Main entdeckte diese Schwachstellen im vergangenen Juli, jedoch begannen die tatsächlichen Ausnutzungsversuche nach der Veröffentlichung der vollständigen technischen Details am 16. Oktober 2026. Als Reaktion darauf hat die US-amerikanische Cybersecurity and Infrastructure Security Agency (CISA) diese Schwachstellen in die Liste der „bekannten ausgenutzten Schwachstellen“ aufgenommen und Bundesbehörden angewiesen, ein sofortiges Update als höchste Priorität durchzuführen.
Umfang der Auswirkungen: Anwendung versus Betriebssystem
In einer wichtigen Klarstellung zur Beruhigung hinsichtlich der Gerätesicherheit betonte das QNAP Product Security Incident Response Team (QNAP PSIRT), dass diese Schwachstellen ausschließlich auf die Anwendung Plex Media Server beschränkt sind. Die zugrunde liegenden QNAP-Betriebssysteme wie QTS und QuTS hero sind nicht direkt von diesen Schwachstellen betroffen; das Risiko liegt vielmehr in der Anwendung, die auf diesen Systemen ausgeführt wird.
Was bedeutet das für Benutzer und wie sollten sie handeln?
Das eigentliche Risiko besteht darin, dass ein Software-Update allein möglicherweise nicht ausreicht, wenn das Gerät bereits kompromittiert wurde. QNAP warnte, dass das Update keine Schadsoftware (Payloads) entfernt, die Angreifer möglicherweise bereits im System platziert haben.
Um den Datenschutz zu gewährleisten, empfiehlt das Unternehmen die folgenden Schritte:
- Sofortiges Update: Aktualisieren Sie den Plex Media Server über den QNAP App Center auf die Version 1.43.3.10861 oder neuer.
- Umfassende Wiederherstellungsmaßnahmen: Bei Verdacht auf eine Kompromittierung sollte eine saubere Neuinstallation des Betriebssystems (QTS oder QuTS hero) durchgeführt und anschließend alle Anmeldedaten für Plex sowie das gesamte NAS-Gerät zurückgesetzt werden.
- Verringerung der Angriffsfläche: Wenn Sie keinen Fernzugriff auf Plex benötigen, ist es ratsam, diese Funktionen zu deaktivieren und die Portweiterleitung (Port 32400) zu stoppen. Wenn ein Fernzugriff erforderlich ist, wird dringend empfohlen, ein Virtual Private Network (VPN) zur Sicherung der Verbindung zu verwenden.