NAS QNAP violati con Plex: aggiorna subito Plex

Cosa è successo

Un NAS è un piccolo archivio di rete che tiene file e film in casa o in ufficio. Plex Media Server è un programma che si installa sul NAS per vedere quei film e quella musica da altri apparecchi.

Il 6 novembre 2026 BleepingComputer ha riportato un comunicato di QNAP: l'azienda ha ricevuto "più segnalazioni" di NAS di clienti sospettati di essere stati violati attraverso Plex Media Server. Il numero di apparecchi non è stato dato.

QNAP precisa che le falle sono solo in Plex Media Server: i suoi sistemi QTS e QuTS hero non sono interessati.

Le quattro falle di Plex2Shell

Il nome Plex2Shell indica quattro falle di sicurezza usate in catena, una dopo l'altra. Ognuna ha un numero di catalogo (CVE): CVE-2026-96652, CVE-2026-96654, CVE-2026-96655 e CVE-2026-96656. Insieme permettono a chi non ha password di far eseguire codice al server (BleepingComputer e The Hacker News concordano).

Il ricercatore che le ha trovate, Zach Main, le ha segnalate a Plex il 27 luglio (BleepingComputer). Il 16 ottobre ha reso pubblici i dettagli tecnici; il 17 ottobre sono stati visti i primi attacchi.

La statunitense CISA le ha inserite il 20 ottobre 2026 nel catalogo KEV, l'elenco ufficiale delle falle già sfruttate negli attacchi (dato confermato direttamente dal catalogo CISA). Secondo il ricercatore che le ha scoperte, la catena ha un punteggio di gravità critico, 9,8 su 10 (il catalogo CISA non assegna un punteggio).

La versione che le corregge è la 1.43.3.10861: uscita il 3 agosto in prova per gli abbonati Plex Pass, il 4 agosto per tutti gli altri (annunci ufficiali di Plex). Plex avverte che i negozi di app come quello di QNAP possono ricevere l'aggiornamento in ritardo rispetto a quella data.

Secondo The Hacker News gli aggressori installano programmi per estrarre criptovalute (miner) e una backdoor, cioè un accesso nascosto per l'aggressore, che funziona anche da proxy: fa passare il traffico di internet di altre persone attraverso il NAS violato, nascondendo chi lo usa davvero. Quella testata scrive che alcuni utenti su Reddit segnalano un miner, ma non si sa se per Plex2Shell. L'avviso ufficiale di Plex conferma lo schema e aggiunge alcuni nomi visti nei server violati: processi come «myawesomeproxy» o «mylovelyminer», file sconosciuti nella cartella Codecs e connessioni verso il dominio proxystream.st.

Cosa consigliano QNAP e Plex

Le indicazioni su QNAP sono quelle riportate da BleepingComputer, dal comunicato QNAP: non abbiamo trovato un bollettino proprio di QNAP da leggere per intero. Quelle su Plex vengono invece dal suo avviso ufficiale, letto per intero.

Aggiornare Plex Media Server all'ultima versione dall'App Center del NAS: QNAP dice che la 1.43.3.10861 o successiva è disponibile lì. Plex avverte che sui NAS il pacchetto aggiornato può arrivare in ritardo nell'App Center: se non c'è ancora, si scarica a mano dalla pagina Download di Plex. La versione si controlla in Plex Web, in Impostazioni → Generali.

Se il server Plex era esposto a Internet con una versione precedente alla 1.43.3.10861, QNAP invita a considerare compromessi il NAS e tutti i contenuti personali; Plex dà la stessa indicazione per ogni server più vecchio di quella versione e raggiungibile da Internet. Chi era già aggiornato ed esposto non rientra in questo avviso. L'aggiornamento da solo, comunque, non toglie quello che gli aggressori hanno già installato su un server rimasto vulnerabile.

Segni di compromissione indicati da Plex: processi avviati dal programma con nomi come «myawesomeproxy», «mylovelyminer» o «x12345»; file «.so» o «.dll» sconosciuti nella cartella Codecs; connessioni in uscita verso il dominio proxystream.st; uso del processore costantemente alto anche quando Plex non sta riproducendo niente.

QNAP indica di controllare i segni di compromissione con il suo bollettino di sicurezza, poi di reinstallare da zero il sistema (QTS o QuTS hero) e reimpostare le credenziali di Plex e del NAS. Plex, in modo simile, consiglia di reinstallare il server senza riusare la vecchia cartella dati (o almeno svuotare Codecs e controllare le voci non impostate dall'utente nel file Preferences.xml), scollegare tutti i dispositivi dall'account Plex e cambiare la password, e considerare esposte le cartelle condivise e le credenziali presenti sulla stessa macchina del NAS.

Se non ti serve l'accesso a Plex dall'esterno, QNAP consiglia di disattivarlo e di smettere di inoltrare la porta 32400 dal router. Se ti serve, usa una VPN, cioè un collegamento protetto verso la tua rete di casa.

Cosa non si sa

Quanti NAS siano stati violati: nessuna fonte lo dice.

Chi c'è dietro gli attacchi: non è detto.

Se i casi segnalati a QNAP siano davvero opera di Plex2Shell: QNAP parla di compromissioni "sospettate".

Se ci siano vittime in Italia: nessuna fonte lo dice.

Da dove vengono questi dati

Sono state lette per intero sei fonti: BleepingComputer del 6 novembre 2026 (comunicato QNAP) e del 21 ottobre 2026, The Hacker News del 19 ottobre 2026, l'avviso ufficiale di Plex sul suo forum, il thread ufficiale di rilascio della versione corretta e il catalogo ufficiale CISA KEV. Le tre testate raccontano la stessa vicenda e valgono come una sola catena di fonti per i dettagli tecnici; Plex e CISA sono le fonti dirette.

Non è stato trovato un bollettino proprio di QNAP, distinto dal comunicato riportato da BleepingComputer. Le indicazioni attribuite a QNAP vengono quindi solo da BleepingComputer; gli attacchi con miner e proxy sono confermati sia da The Hacker News sia dall'avviso di Plex.