QNAPは、同社のネットワーク接続ストレージ（NAS）デバイスが「Plex2Shell」として知られる脆弱性チェーンを悪用して攻撃を受けているとの報告を受けたと発表しました。これらの攻撃は、ストレージデバイスにインストールされているPlex Media Serverアプリケーションを標的としており、個人データや保存ファイルへの不正アクセスにつながるセキュリティホールを露呈させています。
脆弱性の詳細とタイムライン
「Plex2Shell」は、CVE-2026-96652、CVE-2026-96654、CVE-2026-96655、およびCVE-2026-96656として追跡されている4つの脆弱性で構成されています。セキュリティ研究者のZach Main氏が今年7月にこれらの脆弱性を発見しましたが、技術的な詳細が2026年10月16日に公開された後、実際の悪用が開始されました。これを受けて、米国のサイバーセキュリティ・インフラセキュリティ庁（CISA）は、これらの脆弱性を「悪用が確認された脆弱性カタログ」に追加し、連邦機関に対して最優先事項として直ちにアップデートを行うよう指示しました。
影響範囲：アプリケーション対オペレーティングシステム
デバイスの安全性に関する懸念を軽減するための重要な説明として、QNAPのセキュリティインシデント対応チーム（QNAP PSIRT）は、これらの脆弱性はPlex Media Serverアプリケーションに限定されたものであり、QNAPの基盤となるオペレーティングシステムであるQTSやQuTS hero自体は直接的な影響を受けていないことを強調しました。リスクは、これらのシステム上で動作するアプリケーションに存在します。
ユーザーへの影響と対策
真のリスクは、デバイスが既に侵害されている場合、ソフトウェアのアップデートだけでは不十分である可能性があるという点にあります。QNAPは、アップデートを行っても、攻撃者がシステム内に既に埋め込んだ悪意のあるソフトウェア（ペイロード）は除去されない可能性があると警告しています。
データを保護するために、同社は以下の手順に従うことを推奨しています：
- 即時のアップデート：QNAP App Centerを通じて、Plex Media Serverをバージョン1.43.3.10861以降にアップグレードしてください。
- 包括的な復旧措置：侵害が疑われる場合は、オペレーティングシステム（QTSまたはQuTS hero）のクリーンインストールを行い、PlexおよびNASデバイス全体のすべての認証情報をリセットする必要があります。
- 攻撃対象領域の縮小：Plexへのリモートアクセスが不要な場合は、これらの機能を無効にし、ポート転送（ポート32400）を停止することが最善です。リモートアクセスが不可欠な場合は、接続を保護するためにVPN（仮想プライベートネットワーク）を使用することを強く推奨します。