NAS-systemen van Qnap worden geviseerd door hackers, die een kwetsbaarheid in Plex misbruiken om binnen te breken.
Qnap waarschuwt klanten voor een actieve campagne van misbruik. Hackers gebruiken een reeks van bugs in Plex om controle te krijgen over een toestel. Plex2Shell heet die ketting van CVE’s, en ze bestaat uit CVE-2026-96652, CVE-2026-96654, CVE-2026-96655 en CVE-2026-96656.
Al opgelost
De vier bugs zijn al opgelost met een patch, maar zoals vaak hebben gebruikers die patch niet collectief doorgevoerd. Updaten kan via het Qnap App Center, waar gebruikers ervoor moeten zorgen dat Plex versie 1.43.3.10861 heeft. De kans op een hack is het grootst wanneer Plex via het internet toegankelijk was, bijvoorbeeld via een geopende poort 32400.
Plex is een populaire mediaserver, waarmee NAS-gebruikers multimedia kunnen streamen via een tv, app of browser. Plex wordt vooral voor persoonlijk gebruik ingezet, maar kan op NAS-toestellen van kleine zelfstandigen staan die hun investering zowel voor private als professionele doeleinden inzetten. Plex is doorgaans geen onderdeel van een professionele IT-infrastructuur, waardoor meteen updaten naar de laatste versie in principe geen probleem mag opleveren.
Geen bug in QTS
Qnap wijst erop dat er geen kwetsbaarheden aanwezig zijn in besturingssystemen QTS of QuTS Hero: het misbruik komt voort uit de bugs in Plex. Toch kan het nodig zijn om het OS van de NAS opnieuw te installeren. Plex patchen verwijdert immers niet de sporen van een eerdere inbraak.
Indicatoren van een succesvolle kraak zijn onbekende processen gestart door de mediaserver (myawesomeproxy, mylovelyminer, x12345), onbekende bestanden in de Codecs-map (met extensies .so of .dll), connecties naar proxystream.st en een hoog CPU-verbruik zonder duidelijke verklaring.
Wanneer dergelijke sporen aanwezig zijn, is het noodzakelijk om het OS op de NAS te herinstalleren en accounts voor de NAS en Plex van nieuwe wachtwoorden te voorzien.
Synology ook in het vizier
Qnap-toestellen zijn niet de enige die geviseerd worden door aanvallers. Ook concurrent Synology krijgt het op dit moment zwaar te verduren. Daar zit de kwetsbaarheid wel in het besturingssysteem van Synology zelf, maar enkel in oudere varianten waarvoor al lang updates beschikbaar zijn.
In alle gevallen is en blijft de les dezelfde: aanvallers kunnen vandaag met de hulp van AI sneller dan ooit bugs op grote schaal misbruiken. Het risico van een late update weegt zelden op tegen het groeiende risico van een succesvolle hack. Patches installeren zodra die beschikbaar zijn, moet dus een prioriteit zijn.