QNAP、NAS上のPlex Media Server脆弱性で実攻撃を警告

QNAPは2026年11月6日、NAS上で動作するPlex Media Serverの脆弱性を悪用した攻撃が実際のNAS環境で確認されたとして、緊急のセキュリティ通知を発出した。dailysecu.comが伝えた。

対象となる脆弱性はCVE-2026-96652、CVE-2026-96654、CVE-2026-96655、CVE-2026-96656の4件で、連鎖させることで認証を回避し、遠隔からのコード実行につながる可能性がある。影響を受けるのはPlex Media Serverのバージョン1.43.2以前で、1.43.3.10861以降への更新が求められている。

問題はNASにインストールされたPlex Media Server側にあり、QNAP製NASのオペレーティングシステム自体の欠陥ではないとしている。

攻撃者が侵入に成功した場合、仮想通貨のマイニングプログラムを設置したり、感染した機器を他のインターネット通信を中継するプロキシサーバーとして悪用したりする恐れがある。

QNAPは、すでに侵害されたNASではソフトウェアの更新だけでは攻撃者が仕込んだマルウェアや永続化の仕組みを除去できない可能性があると警告している。管理者には、外部アクセス設定や不審なプロセス、スケジュールされたタスク、疑わしいネットワーク接続の確認を推奨している。