큐냅, Plex2Shell 실제 공격 확인…NAS 긴급 보안 공지

큐냅(QNAP)이 11월 6일 자사 NAS 제품에서 Plex Media Server 취약점을 악용한 실제 공격이 확인됐다며 긴급 보안 공지를 발표했다. dailysecu.com 보도에 따르면 이번 공격은 Plex2Shell로 알려진 취약점과 연관돼 실제 NAS 환경에서 발생하고 있다.

문제가 되는 취약점은 CVE-2026-96652, CVE-2026-96654, CVE-2026-96655, CVE-2026-96656 네 건으로, 연쇄적으로 악용될 경우 인증을 우회하고 원격 코드 실행까지 가능하다. 영향을 받는 소프트웨어는 Plex Media Server 1.43.2 이하 버전이며, 사용자는 1.43.3.10861 이상으로 업데이트해야 한다.

결함은 큐냅 자체 NAS 운영체제가 아니라 NAS에 설치된 Plex Media Server에 있다. 공격자는 감염된 기기에 가상화폐 채굴 프로그램을 설치하거나, 해당 기기를 프록시 서버로 삼아 다른 인터넷 트래픽을 중계할 수 있다.

큐냅은 이미 침해된 NAS의 경우 소프트웨어 업데이트만으로는 공격자가 심어놓은 악성코드나 지속성 유지 수단이 제거되지 않을 수 있다고 경고했다.

관리자가 확인해야 할 항목

관리자는 외부 접속 설정과 비정상 프로세스, 예약 작업, 의심스러운 네트워크 연결 여부를 점검할 것을 권고받았다.