Plex2Shell : QNAP signale des NAS compromis par le biais de Plex Media Server

QNAP a publié le 6 novembre 2026 un avis de sécurité qui appelle les utilisateurs à installer la dernière version de Plex Media Server disponible dans le QNAP App Center, rapporte le site américain Bleeping Computer. Le constructeur indique avoir reçu plusieurs signalements de compromissions présumées touchant les serveurs de stockage en réseau (NAS) de ses clients. « QNAP a reçu des signalements de certains utilisateurs indiquant que Plex Media Server sur leur NAS semble avoir été compromis par le biais des vulnérabilités [Plex2Shell], et le support technique de QNAP assiste les utilisateurs concernés », écrit l'entreprise dans son avis. La formulation retenue, « semble avoir été compromis », montre qu'à ce stade QNAP fait état de signalements et non d'un bilan chiffré des appareils touchés.¹

Plex2Shell désigne une chaîne de quatre vulnérabilités de Plex Media Server, référencées CVE-2026-96652, CVE-2026-96654, CVE-2026-96655 et CVE-2026-96656. D'après Bleeping Computer, le chercheur en sécurité Zach Main les a découvertes et signalées à Plex le 27 juillet. Leur exploitation a commencé peu après la publication de l'ensemble des détails techniques, le 16 octobre. Le 20 octobre 2026, l'agence américaine CISA a ajouté les quatre failles à son catalogue des vulnérabilités connues comme exploitées, en demandant aux agences fédérales de passer à la version 1.43.3.10861 de Plex ou à une version ultérieure sous trois jours, ce qui correspond à la priorité maximale. Ce calendrier signifie que l'avertissement de QNAP intervient trois semaines après la publication des détails techniques et un peu plus de deux semaines après l'alerte de la CISA.¹

Les NAS de QNAP sont des ordinateurs spécialisés, dotés de capacités de stockage, qui permettent de conserver des fichiers, d'y accéder et de les partager sur un réseau. Ils servent le plus souvent à sauvegarder des ordinateurs et à stocker des fichiers multimédias. Les utilisateurs peuvent étendre leurs fonctions en installant des applications depuis le QNAP App Center, comme Plex Media Server, qui diffuse films, séries et musique directement depuis les disques du NAS. La version recommandée par QNAP, actuellement disponible dans son App Center, est la 1.43.3.10861. Selon le constructeur, son équipe de réponse aux incidents de sécurité, QNAP PSIRT, a confirmé que les vulnérabilités ne concernent que Plex Media Server : les systèmes d'exploitation QTS, QuTS hero et les autres systèmes de QNAP ne sont pas eux-mêmes touchés. Ce qui signifie que le risque porte sur une application tierce installée par l'utilisateur, mais que ses conséquences s'étendent à l'ensemble de l'appareil, comme le montrent les consignes de remédiation du constructeur.¹

Une mise à jour qui ne suffit pas

QNAP indique que les utilisateurs dont le serveur Plex vulnérable est exposé sur l'internet public doivent considérer leur NAS et l'ensemble de leurs contenus personnels comme compromis. Le constructeur avertit que la mise à jour ne supprimera pas les charges malveillantes que les attaquants auraient déjà installées sur l'appareil. La démarche recommandée consiste à rechercher les signes de compromission décrits dans le bulletin de sécurité, à réinstaller proprement le système d'exploitation (QTS ou QuTS hero), puis à réinitialiser les identifiants de Plex et du NAS. QNAP a publié un guide de remédiation détaillé, étape par étape, et propose d'analyser les journaux d'activité des appareils suspectés d'avoir été compromis, que les utilisateurs peuvent transmettre via son portail d'assistance technique.¹

Pour les propriétaires concernés, cela change concrètement la nature de l'intervention : il ne s'agit plus d'appliquer un correctif, mais de reconstruire le système et de changer les mots de passe, avec les contraintes que cela suppose pour un appareil qui sert souvent de sauvegarde. Le constructeur recommande en outre aux utilisateurs qui n'ont pas besoin d'accéder à Plex à distance de désactiver les fonctions correspondantes et de cesser de rediriger le port 32400. Ceux qui ont besoin d'un accès à distance sont invités à passer par un VPN. Reste à savoir combien d'appareils exposés sur internet faisaient tourner une version vulnérable entre le 16 octobre et la mise à jour, une donnée que ni QNAP ni Bleeping Computer ne fournissent.¹

Les NAS et les objets connectés, cibles d'autres campagnes

L'avis de QNAP n'est pas le seul à viser les serveurs de stockage. Le site russe Xakep rapporte que Synology, autre fabricant de NAS, a averti ses clients d'une recrudescence de l'activité du rançongiciel C3RB3R : les attaquants piratent les appareils qui fonctionnent sous des versions obsolètes de DiskStation Manager (DSM), chiffrent les données et réclament une rançon. Synology recommande de mettre à jour DSM sans attendre et de fermer l'accès à l'interface d'administration du NAS depuis internet. Les deux cas diffèrent sur un point : chez QNAP, la faille se situe dans une application tierce et non dans le système, tandis que l'avertissement de Synology porte sur des versions anciennes de son propre système d'exploitation. Les deux constructeurs convergent en revanche sur la recommandation de limiter l'exposition directe des appareils sur internet.^1,2

Le site canadien BetaKit rapporte de son côté que des supermarchés européens, des épiceries et même des banques du sang ont été visés par des cyberattaques coûteuses qui modifient la température de réfrigérateurs et de congélateurs professionnels. Jeff Shirley, fondateur et directeur général de Rivercity Innovations, entreprise de Saskatoon créée en 2017 qui commercialise des capteurs de température, de position GPS et d'humidité dans sept pays, indique recevoir des appels de clients européens depuis ces piratages. Interrogé par le journaliste Jesse Cole, il aborde la question de savoir si les objets connectés canadiens, des réfrigérateurs aux systèmes de chauffage et de climatisation, doivent être considérés comme exposés. Ces cas relèvent d'autres équipements et d'autres attaquants ; ils montrent toutefois que des appareils installés dans des foyers ou des commerces, et reliés au réseau, font l'objet d'attaques documentées au même moment.³

À ce stade, les suites possibles dépendraient en grande partie des propriétaires eux-mêmes : la correction existe depuis au moins le 20 octobre, date à laquelle la CISA l'a imposée aux agences fédérales américaines, mais elle ne protège pas les appareils déjà compromis. Si les analyses de journaux proposées par QNAP aboutissaient, le constructeur pourrait préciser l'ampleur des intrusions et la nature des charges installées, des éléments qui ne figurent pas dans son avis du 6 novembre.¹