Sicherheitswarnungen · 6. November 2026
QNAP-NAS mit Plex Media Server: Angreifer übernehmen die App ohne Anmeldung
Über eine Kette von vier Fehlern in Plex Media Server führen Angreifer ohne Zugangsdaten eigenen Code auf NAS-Geräten aus. QNAP meldet bereits übernommene Geräte bei Kunden. Abhilfe bringt Plex 1.43.3.10861.
Worum es geht
Plex Media Server auf QNAP-NAS
Plex Media Server ist eine Zusatz-App, mit der sich Videos, Musik und Fotos von einem NAS im Netzwerk abspielen lassen. Auf vielen QNAP-Speichergeräten ist sie aus dem App Center installiert, auch in kleineren Firmen. Unter dem Namen „Plex2Shell“ sind vier zusammenhängende Fehler in dieser App bekannt geworden. Hintereinander ausgenutzt, kann ein Angreifer ohne Konto eine eigene Programmdatei auf dem Gerät ablegen, die Plex beim nächsten Start lädt.
Der Angreifer kann dann Befehle mit den Rechten der Plex-App ausführen. Laut QNAP wurden übernommene Geräte bisher vor allem für Krypto-Mining und als Weiterleitungsstation für fremden Datenverkehr missbraucht. Wer Zugriff auf das NAS hat, kommt aber unter Umständen auch an dort gespeicherte Daten und Zugangsdaten. Das Betriebssystem der QNAP-Geräte (QTS und QuTS hero) ist laut Hersteller selbst nicht betroffen.
Die Fehler wurden im Sommer an Plex gemeldet, technische Details sind seit Mitte Oktober öffentlich, kurz danach begannen die Angriffe. Die US-Behörde CISA führt alle vier Lücken seit 20. Oktober als aktiv ausgenutzt. Am 6. November hat QNAP gewarnt, dass Kunden-NAS bereits übernommen wurden. Ein Update allein entfernt eine bereits eingeschleuste Schadsoftware nicht.
Betroffen
- Plex Media Server 1.43.2 und älter, auf QNAP-NAS und anderen Plattformen
Behoben
- Plex Media Server 1.43.3 (Build 1.43.3.10861) oder neuer
Was jetzt zu tun ist
Die nächsten Schritte.
- 01
Im QNAP App Center unter „Meine Apps“ prüfen, ob Plex Media Server installiert ist, und die App deinstallieren, wenn sie nicht gebraucht wird.
- 02
Wird Plex gebraucht, sofort auf 1.43.3.10861 oder neuer aktualisieren.
- 03
Den Plex-Fernzugriff abschalten, die Portweiterleitung für Port 32400 am Router entfernen und UPnP deaktivieren; für Zugriff von außen ein VPN verwenden.
- 04
War das NAS aus dem Internet erreichbar, das Gerät als möglicherweise übernommen behandeln und anhand der Anleitung von QNAP prüfen, etwa auf unbekannte Prozesse, fremde Dateien im Codecs-Ordner oder dauerhaft hohe Prozessorlast.
- 05
Bei Verdacht QTS bzw. QuTS hero laut QNAP sauber neu installieren, ohne den alten Codecs-Ordner weiterzuverwenden, und danach die Passwörter für NAS, Plex und die darauf genutzten Dienste ändern.
- 06
QTS bzw. QuTS hero und alle übrigen Apps ebenfalls auf den neuesten Stand bringen.
Unterstützung
Unsicher, ob Sie betroffen sind?
Wir prüfen Ihre Systeme, spielen die Updates ein und suchen nach Spuren eines Angriffs. Sie bekommen eine klare Antwort: betroffen oder nicht. Betreuungskunden müssen nichts tun, wir kümmern uns bereits darum.
Veröffentlicht am 6. November 2026. Grundlage: BleepingComputer · SecurityWeek · QNAP. Von uns in eigenen Worten zusammengefasst; verbindlich sind die Hinweise des Herstellers. Alle Sicherheitswarnungen
Passend dazu