Synology corrige quatre failles Plex2Shell dans Plex Media Server sur NAS
L'avis Synology-SA-26:17 du 8 novembre 2026 corrige une faille d'écriture de fichier arbitraire notée 7,2 et trois autres défauts.
Synology a publié le 8 novembre 2026 l'avis de sécurité Synology-SA-26:17, qui corrige quatre vulnérabilités dans le paquet Plex Media Server utilisé sur ses appareils NAS. Les failles concernent le paquet installé séparément et non DSM lui-même, ce qui impose une mise à jour distincte.
Les défauts identifiés sont deux problèmes SSRF, CVE-2026-96652 et CVE-2026-96655, notés 4,3 sur l'échelle CVSS, un problème de validation d'URL, CVE-2026-96654, noté 6,5, et une faille d'écriture de fichier arbitraire, CVE-2026-96656, notée 7,2. Selon l'avis, l'enchaînement de ces vulnérabilités pourrait permettre à un attaquant de contourner l'authentification et d'atteindre une exécution de code à distance.
Les versions corrigées sont Plex Media Server 1.43.5.11079-720011079 ou ultérieure pour DSM 7.4 et 7.3, et 1.43.5.11079-700011079 ou ultérieure pour DSM 7.2.2 et 7.2.1.
Des cas d'exploitation suspectés signalés chez QNAP
Le 6 novembre 2026, QNAP a indiqué que des cas d'exploitation réelle suspectée avaient été signalés pour ces mêmes vulnérabilités Plex2Shell, selon dailysecu.com.
En bref
Quelles versions de Plex Media Server corrigent les failles ?
Plex Media Server 1.43.5.11079-720011079 ou ultérieure pour DSM 7.4 et 7.3, et 1.43.5.11079-700011079 ou ultérieure pour DSM 7.2.2 et 7.2.1.
La mise à jour de DSM suffit-elle ?
Non. Les vulnérabilités se trouvent dans le paquet Plex Media Server, installé séparément de DSM, et nécessitent donc une mise à jour distincte.
Quelle est la faille la plus grave ?
CVE-2026-96656, une faille d'écriture de fichier arbitraire notée 7,2 sur l'échelle CVSS.