La société QNAP a annoncé avoir reçu des rapports indiquant que ses appareils de stockage réseau (NAS) ont été piratés via l'exploitation d'une chaîne de vulnérabilités connue sous le nom de "Plex2Shell". Ces attaques ciblent l'application Plex Media Server installée sur les appareils de stockage, créant une faille de sécurité susceptible d'entraîner un accès non autorisé aux données personnelles et aux fichiers stockés.
Détails des vulnérabilités et calendrier
"Plex2Shell" se compose d'une série de quatre vulnérabilités suivies sous les codes (CVE-2026-96652, CVE-2026-96654, CVE-2026-96655 et CVE-2026-96656). Le chercheur en sécurité Zach Main a découvert ces failles en juillet dernier, mais les exploitations réelles ont commencé suite à la publication des détails techniques complets le 16 octobre 2026. En réponse, l'Agence américaine pour la cybersécurité et la sécurité des infrastructures (CISA) a ajouté ces vulnérabilités à sa liste des "vulnérabilités connues exploitées", ordonnant aux agences fédérales de procéder à une mise à jour immédiate en priorité absolue.
Portée de l'impact : application contre système d'exploitation
Dans une précision importante visant à réduire les inquiétudes concernant l'intégrité des appareils, l'équipe de réponse aux incidents de sécurité de QNAP (QNAP PSIRT) a confirmé que ces vulnérabilités sont limitées exclusivement à l'application Plex Media Server. Les systèmes d'exploitation de base de QNAP, tels que QTS et QuTS hero, ne sont pas directement affectés par ces failles ; le risque réside dans l'application qui s'exécute au-dessus de ces systèmes.
Qu'est-ce que cela signifie pour les utilisateurs et comment doivent-ils agir ?
Le risque réel réside dans le fait qu'une mise à jour logicielle seule pourrait ne pas suffire si l'appareil a déjà été compromis ; QNAP a averti que la mise à jour ne supprimera pas les logiciels malveillants (charges utiles) que les attaquants auraient pu préalablement installer dans le système.
Pour garantir la protection des données, la société conseille de suivre les étapes suivantes :
- Mise à jour immédiate : Mettre à niveau l'application Plex Media Server vers la version 1.43.3.10861 ou une version ultérieure via le magasin d'applications QNAP (App Center).
- Procédures de restauration complète : En cas de suspicion d'intrusion, il est nécessaire d'effectuer une réinstallation propre du système d'exploitation (QTS ou QuTS hero), puis de réinitialiser toutes les informations d'identification de Plex et de l'appareil NAS dans son intégralité.
- Réduction de la surface d'attaque : Si vous n'avez pas besoin d'accéder à Plex à distance, il est préférable de désactiver ces fonctionnalités et d'arrêter la redirection de port (Port 32400). Si l'accès à distance est nécessaire, il est fortement recommandé d'utiliser un réseau privé virtuel (VPN) pour sécuriser la connexion.