Uma campanha de ataques está comprometendo dispositivos QNAP NAS que executam versões vulneráveis do Plex Media Server. Os criminosos estão explorando uma cadeia de falhas de segurança identificada como Plex2Shell, capaz de permitir a execução remota de código nos servidores afetados. O problema preocupa especialmente usuários que deixam o serviço de mídia acessível diretamente pela internet.
A exploração envolve quatro vulnerabilidades, identificadas pelos códigos CVE-2026-96652, CVE-2026-96654, CVE-2026-96655 e CVE-2026-96656. Segundo os relatos de ataques identificados, os invasores conseguem assumir o controle do processo do Plex e instalar ferramentas maliciosas, incluindo mineradores de criptomoedas e componentes utilizados para transformar equipamentos comprometidos em servidores proxy.
O alerta ganhou ainda mais relevância depois que a CISA (Agência de Segurança Cibernética e de Infraestrutura dos Estados Unidos) incluiu as falhas em seu catálogo de vulnerabilidades exploradas ativamente. A QNAP também publicou orientações para seus clientes, destacando que atualizar o aplicativo pode não ser suficiente quando o dispositivo já foi invadido.
Como funciona a cadeia de falhas Plex2Shell no Plex Media Server
Plex2Shell é o nome atribuído à cadeia de quatro vulnerabilidades de segurança descobertas pelo pesquisador Zach Main no Plex Media Server. Quando combinadas, as falhas permitem que um invasor ultrapasse mecanismos de proteção do aplicativo e consiga executar comandos remotamente no servidor comprometido.
As vulnerabilidades identificadas são:
- CVE-2026-96652: falha de falsificação de solicitações do lado do servidor (SSRF), que permite manipular requisições realizadas pela aplicação.
- CVE-2026-96654: vulnerabilidade relacionada ao processamento de URLs e ao acesso a funcionalidades internas do servidor.
- CVE-2026-96655: outra falha SSRF, que pode ser utilizada para alcançar componentes internos do Plex.
- CVE-2026-96656: falha de gravação arbitrária de arquivos, que possibilita escrever arquivos em locais que deveriam estar protegidos.
O perigo está justamente na combinação desses problemas. Em vez de depender de uma única vulnerabilidade, o invasor encadeia diferentes mecanismos para obter acesso a recursos internos, alcançar privilégios administrativos e gravar arquivos maliciosos no ambiente do servidor.
Um dos caminhos explorados envolve o mecanismo de transcodificação de mídia do Plex. A manipulação desse componente permite que arquivos maliciosos sejam introduzidos em diretórios utilizados pelo aplicativo, possibilitando sua execução durante o funcionamento do serviço.
Na prática, isso pode resultar em execução remota de código (RCE), permitindo que criminosos executem programas com os privilégios do processo do Plex Media Server.
Embora os ataques identificados tenham atingido dispositivos QNAP, o problema não está restrito a essa fabricante. Outros equipamentos e computadores que executam versões vulneráveis do Plex também podem estar sujeitos à exploração.
CISA confirma a exploração ativa das falhas
A gravidade da situação aumentou após a inclusão das vulnerabilidades no catálogo Known Exploited Vulnerabilities (KEV) da CISA.
Esse catálogo reúne falhas para as quais existem evidências de exploração real por criminosos. Portanto, a presença das vulnerabilidades nessa lista indica que o problema ultrapassou a condição de risco teórico e já está sendo utilizado em ataques.
A agência americana estabeleceu prazos de correção para as organizações sob sua jurisdição. Para as vulnerabilidades CVE-2026-96652 e CVE-2026-96655, o prazo indicado foi 3 de novembro de 2026.
A inclusão no catálogo KEV também serve como referência para administradores de infraestrutura, empresas e equipes de segurança que precisam priorizar atualizações com base na exploração observada no mundo real.
QNAP esclarece que o problema está no aplicativo Plex
A equipe de resposta a incidentes de segurança da QNAP (PSIRT) esclareceu que as falhas não estão presentes nativamente nos sistemas operacionais QTS e QuTS hero.
O problema está especificamente no Plex Media Server desatualizado, instalado nos equipamentos NAS.
Essa distinção é importante porque significa que o sistema operacional da QNAP não é a origem das vulnerabilidades. Entretanto, como o aplicativo possui acesso aos recursos do dispositivo, sua exploração pode comprometer a segurança do equipamento.
Segundo as orientações da fabricante, estão vulneráveis as instalações do Plex Media Server na versão 1.43.2 ou anterior. A correção foi disponibilizada na versão 1.43.3.10861.
Os administradores devem verificar a versão efetivamente instalada no NAS e realizar a atualização pelo App Center, sem presumir que as atualizações recentes do QTS ou QuTS hero também corrigiram automaticamente o aplicativo.
Por que atualizar o Plex Media Server pode não remover uma invasão
Um dos avisos mais importantes da QNAP é que a atualização do Plex Media Server não elimina automaticamente ameaças que já tenham sido instaladas no dispositivo.
Quando um invasor consegue explorar uma vulnerabilidade, ele pode instalar arquivos maliciosos, criar processos persistentes, modificar configurações e estabelecer mecanismos para manter o acesso ao equipamento.
A instalação de uma versão corrigida impede que as mesmas falhas continuem sendo utilizadas, mas não garante que essas alterações sejam removidas.
Isso significa que um NAS pode estar executando uma versão atualizada do Plex e continuar comprometido.
Entre os sinais que merecem atenção estão:
- Consumo elevado de CPU: mineradores de criptomoedas podem utilizar continuamente os recursos do processador.
- Processos desconhecidos: executáveis que não correspondem aos serviços legítimos do NAS.
- Conexões externas suspeitas: tráfego de rede inesperado pode indicar comunicação com servidores controlados pelos invasores.
- Arquivos desconhecidos: bibliotecas maliciosas podem aparecer nos diretórios utilizados pelo Plex, especialmente na pasta
Codecs. - Configurações modificadas: alterações não autorizadas nas opções de transcodificação também podem indicar comprometimento.
Como recuperar um dispositivo potencialmente comprometido
Se o NAS executava uma versão vulnerável do Plex e estava acessível pela internet, o administrador deve considerar a possibilidade de invasão.
O primeiro passo é isolar o equipamento, restringindo sua comunicação com a internet e outros dispositivos da rede. Isso ajuda a impedir novas conexões dos criminosos enquanto a investigação é realizada.
Antes de remover o aplicativo, preserve os registros de atividade do Plex, incluindo os arquivos armazenados na pasta compartilhada PlexData. Essas informações podem ajudar a identificar atividades suspeitas e reconstruir o incidente.
Em seguida, investigue processos desconhecidos, arquivos suspeitos e alterações nas configurações do aplicativo. A remoção do pacote comprometido e sua reinstalação limpa devem fazer parte da recuperação.
Se houver evidências de comprometimento mais amplo, persistência maliciosa ou alterações fora do Plex, considere a recuperação limpa do sistema operacional, seguindo as orientações do suporte da QNAP.
Também é necessário redefinir as credenciais administrativas e dos usuários, alterar a senha da conta Plex e encerrar sessões existentes. Tokens de autenticação e credenciais de serviços conectados também precisam ser avaliados, pois podem ter sido expostos durante a invasão.
Como proteger seu QNAP NAS contra novos ataques
A campanha de invasões reforça um problema recorrente em servidores domésticos: a exposição desnecessária de aplicações à internet pública.
O Plex utiliza tradicionalmente a porta TCP 32400 para conexões remotas. Quando o administrador configura o redirecionamento dessa porta no roteador, o serviço passa a ficar acessível externamente, aumentando sua exposição a varreduras automatizadas e tentativas de exploração.
A primeira medida recomendada é revisar as regras de encaminhamento de portas do roteador e remover o redirecionamento da porta 32400 quando ele não for indispensável.
Também é importante verificar se o UPnP está habilitado. Esse recurso permite que aplicativos solicitem automaticamente a abertura de portas no roteador, criando caminhos de acesso externo que podem passar despercebidos pelo administrador.
Prefira VPN para acessar o servidor remotamente
Uma alternativa mais segura é utilizar uma VPN (Virtual Private Network) para acessar a rede doméstica.
Ferramentas como WireGuard e OpenVPN permitem estabelecer conexões criptografadas entre dispositivos autorizados e a infraestrutura local.
Nesse modelo, o usuário conecta seu notebook ou smartphone à VPN antes de acessar o Plex. Assim, não precisa necessariamente deixar o servidor de mídia exposto diretamente na internet.
A VPN também precisa receber atualizações e utilizar autenticação adequada. Sua instalação não elimina todos os riscos, mas reduz a superfície de exposição dos serviços internos.
Mantenha os aplicativos e o sistema atualizados
Além de atualizar o Plex Media Server para a versão 1.43.3.10861 ou posterior, os administradores devem acompanhar as atualizações do QTS, QuTS hero e demais aplicativos instalados.
No equipamento QNAP, a versão do Plex pode ser conferida em App Center > Meus aplicativos > Plex Media Server.
Também é recomendável utilizar o QuFirewall para restringir conexões desnecessárias, verificar periodicamente o funcionamento do Malware Remover e manter backups independentes dos arquivos armazenados no NAS.
Essas medidas ajudam a reduzir os impactos de invasões e dificultam a permanência de ameaças na infraestrutura doméstica.
Ataques Plex2Shell reforçam os riscos de expor servidores NAS à internet
Os ataques contra dispositivos QNAP demonstram como falhas em uma aplicação de terceiros podem comprometer equipamentos que armazenam arquivos pessoais, backups e outros dados importantes.
A cadeia Plex2Shell permite explorar vulnerabilidades no Plex Media Server para executar código remotamente. A inclusão das falhas no catálogo da CISA confirma a gravidade do cenário e reforça a necessidade de correção imediata.
Os usuários precisam atualizar o aplicativo, mas também avaliar se o dispositivo pode ter sido comprometido anteriormente. Quando existem indícios de invasão, a recuperação exige investigação, remoção de componentes maliciosos, reinstalação limpa quando necessária e redefinição das credenciais.
Para quem mantém um homelab, a principal lição é evitar a exposição direta de serviços internos. VPN, firewall, atualizações regulares e backups independentes devem fazer parte da estratégia básica de proteção.
