要点
- QNAP は、NAS で動かす Plex Media Server の欠陥「Plex2Shell」で、侵入されたとみられる利用者の報告を受けたと発表した。
- 外から Plex に届く状態で 1.43.2 以前を使っていた NAS は、更新しても攻撃者が入れたものが残るおそれがある。
- 更新だけでは足りない場合がある。侵入の跡があれば、Plex を消して入れ直し、パスワードも替える必要がある。
何が起きたか
Plex2Shell は、Plex Media Server にある 4 つの欠陥（CVE-2026-96652、96654、96655、96656）を組み合わせた攻撃だ。QNAP によると、欠陥は単独ではそれほど危なくない。しかし 4 つが重なると、認証のない外部の攻撃者が、Plex を動かしている権限で好きなプログラムを実行できてしまう。
QNAP が説明する経過は次のとおり。10 月 16 日に、攻撃の実証コードが公開された。以後、インターネットに公開され、更新していない Plex サーバーへの攻撃が広がった。乗っ取られたサーバーは、暗号資産の採掘や通信の中継に使われたという。QNAP は 11 月 6 日の告知で、一部の利用者から「Plex が侵入されたようだ」との報告を受けていると述べた。
欠陥があるのは Plex Media Server だけだ。QNAP は、QTS や QuTS hero といった NAS 本体の OS は影響を受けないとしている。
日本の利用者への影響
日本での利用台数や被害の件数、被害に遭った組織名は、確かめた一次情報には書かれていない。分からない。ただ、QNAP の NAS に Plex を入れて外から見られるようにしていれば、日本の利用者も同じ条件で当たる。
今すぐやること
- NAS の App Center で、Plex Media Server の版を見る。1.43.2 以前なら影響を受ける。QNAP は 1.43.3.10861 以降への更新を求めている。
- 1.43.2 以前の Plex が、NAS 上でインターネットから届き得る状態だったなら、QNAP は「侵入された可能性がある」として扱うよう勧めている。QNAP が挙げる例は、Plex の外部アクセスを有効にしていた、ルーターでポート 32400 を開けていた、UPnP（ルーターが自動でポートを開ける機能）で自動的に開いていた、などだ。
- 侵入の跡を調べる。何を見るかは、下の技術者向けの詳細にある。更新しただけでは、すでに入れられたものは消えない。
- 跡があれば、怪しいプログラムを消すだけで済ませない。QNAP は Plex の削除と入れ直しを案内している。QNAP のサポートに相談するなら、先に Plex のログを別の場所へ退避する。
- 外部公開を見直す。外から見る必要がなければ、外部アクセスとポート 32400 の転送を止める。必要なら VPN（暗号化した専用の通り道）を使う。Plex と NAS のパスワードを替え、二段階認証を入れる。
背景
家庭用の NAS は、写真や動画を置いて外から見る使い方が多い。便利な反面、インターネットにつながる入口が増える。今回の欠陥は NAS の OS ではなく、あとから入れたアプリにある。OS を新しく保つだけでは防げない例だ。
BleepingComputer は、米国の CISA（米サイバーセキュリティ庁）が 10 月 20 日に 4 つの欠陥を悪用が確認された欠陥の一覧に加えたと報じている。この日付は、こちらでは CISA の原文で確かめていない。
技術者向けの詳細
- 影響: Plex Media Server 1.43.2 以前。修正: 1.43.3（1.43.3.10861 以降）。出典は QNAP の告知。
- 確認: App Center > My Apps、または Plex Web の 設定 > 一般。
- QNAP の FAQ が挙げる侵入の跡:
- Plex が起動した見覚えのないプロセス（
myawesomeproxy、mylovelyminer、x12345など） - PlexData 共有フォルダ内、Plex Media Server の Codecs フォルダにある、見覚えのない
.soや.dll proxystream.stへの外向きの通信- 再生していないのに続く高い CPU 使用率
- Malware Remover の検出（例: MR2104）
- Plex が起動した見覚えのないプロセス（
- 入れ直し時の確認（Plex の告知）:
Preferences.xmlに、自分で設定していない変換（トランスコーダー）関連の項目がないか見る。 - 対処（QNAP の FAQ の順序）: Logs フォルダを退避 → Plex を削除 → PlexData 共有に残ったファイルを確認 → 1.43.3 以降を入れ直す → 古い Codecs の中身は戻さない。
- 資格情報: 先に全端末を Plex アカウントからログアウトしてからパスワードを変更する。NAS の管理者・利用者のパスワード、バックアップやクラウド連携の鍵も替える。
- 露出の削減: UPnP を止める。myQNAPcloud の自動ルーター設定を外す。QuFirewall と Malware Remover の定期スキャンを使う。
- 詳しい手順は QNAP の告知と FAQ、Plex のフォーラムの告知を参照。
