QNAP meminta pengguna NAS segera memperbarui Plex Media Server ke versi 1.43.3.10861 atau yang lebih baru melalui QNAP App Center. Peringatan itu menyusul laporan dari sejumlah pengguna yang menduga perangkat mereka telah disusupi lewat Plex2Shell, rangkaian celah yang sudah dieksploitasi dalam serangan. Tim dukungan QNAP sedang membantu pengguna terdampak.
Plex Media Server memungkinkan pengguna menayangkan film, serial, dan musik dari NAS. QNAP menyatakan bahwa celah Plex2Shell berada di aplikasi tersebut. QTS, QuTS hero, dan sistem operasi QNAP lainnya tidak mengandung celah yang sama, tetapi perangkat yang menjalankan Plex versi rentan dapat disusupi melalui aplikasi itu.
Empat celah Plex masuk katalog eksploitasi CISA
Plex2Shell mencakup CVE-2026-96652, CVE-2026-96654, CVE-2026-96655, dan CVE-2026-96656. Peneliti keamanan Zach Main melaporkan temuan itu kepada Plex pada 27 Juli 2026. Eksploitasi mulai teramati tak lama setelah rincian teknisnya dipublikasikan pada 16 Oktober.
Badan Keamanan Siber dan Infrastruktur Amerika Serikat (CISA) memasukkan keempat celah ke katalog Known Exploited Vulnerabilities pada 20 Oktober 2026. CISA memberi instansi federal AS waktu tiga hari untuk memperbarui Plex Media Server ke versi 1.43.3.10861 atau lebih baru.
Pembaruan saja tidak memulihkan NAS yang sudah disusupi
QNAP menyarankan pengguna yang pernah mengekspos Plex versi rentan ke internet untuk memperlakukan NAS beserta data di dalamnya sebagai telah disusupi. Pembaruan menutup celah, tetapi tidak menghapus program atau berkas berbahaya yang mungkin sudah ditanam pelaku.
Untuk perangkat yang diduga terdampak, QNAP meminta pengguna memeriksa indikator kompromi dalam pemberitahuan resminya, mengikuti panduan pemasangan ulang bersih QTS atau QuTS hero, lalu mengganti kredensial Plex dan NAS. Pengguna juga dapat menyerahkan log perangkat melalui portal dukungan teknis QNAP untuk membantu penyelidikan.
Jika Plex hanya dipakai di jaringan lokal, QNAP menyarankan pengguna mematikan fitur akses jarak jauh dan menghapus aturan penerusan port TCP 32400 pada router. Bagi pengguna yang tetap perlu mengakses Plex dari luar jaringan, QNAP menyarankan koneksi melalui VPN.
Sumber: QNAP – QNAP Security Notice: Plex Media Server Vulnerabilities (Plex2Shell)
