Plex2Shell sui NAS Synology e QNAP: aggiornare Plex Media Server e verificare

Articolo aggiornato al 10 novembre 2026. La situazione è ancora in evoluzione: lo aggiornerò se Plex, Synology o QNAP rilasciano nuove correzioni o indicazioni.

Il NAS che di notte macina CPU al 100% senza che nessuno stia guardando un film, la ventola sempre su di giri, il traffico in uscita verso indirizzi che non conoscete. Se sul NAS dell’ufficio (o su quello che il titolare si è portato a casa “per le foto”) è installato Plex Media Server, in questi giorni vale la pena controllarlo.

La causa si chiama “Plex2Shell”: quattro vulnerabilità di Plex Media Server (CVE-2026-96652, CVE-2026-96654, CVE-2026-96655 e CVE-2026-96656) che, concatenate, permettono a un attaccante di eseguire codice con i privilegi del servizio Plex. Plex le ha corrette già a settembre con la versione 1.43.3.10861, ma dopo la pubblicazione dei dettagli tecnici a metà ottobre sono partiti gli attacchi: sui server compromessi vengono installati miner di criptovalute e software proxy. Il 6 novembre QNAP ha pubblicato un avviso perché sta ricevendo segnalazioni di NAS compromessi, e l’8 novembre Synology ha rilasciato il bollettino Synology-SA-26:17 con il pacchetto aggiornato.

Chi è coinvolto

È vulnerabile Plex Media Server fino alla 1.43.2 compresa, cioè qualsiasi versione precedente alla 1.43.3.10861, su qualsiasi piattaforma. Il sistema operativo del NAS (DSM, QTS, QuTS hero) non è vulnerabile in sé: il problema è il pacchetto. Le versioni da avere sono:

• Synology con DSM 7.3 o 7.4: pacchetto 1.43.5.11079-720011079 o successivo;
• Synology con DSM 7.2.1 o 7.2.2: pacchetto 1.43.5.11079-700011079 o successivo;
• QNAP e installazioni su Windows, Linux o Docker: 1.43.3.10861 o successiva.

I più esposti sono i server raggiungibili da Internet: Accesso remoto di Plex attivo, porta 32400 inoltrata sul router, oppure aperta in automatico da UPnP o dalla configurazione automatica del router di myQNAPcloud. Un server raggiungibile solo dalla LAN è meno a rischio, ma va aggiornato comunque.

Perché succede

L’ultimo anello della catena è un’impostazione del transcoder, TranscoderH264Options, che Plex passa così com’è al codificatore a ogni transcodifica, e la possibilità di scrivere file nella cartella Codecs, le cui librerie vengono caricate all’avvio senza controlli. Il risultato pratico è importante: il codice malevolo resta nella cartella dei dati di Plex e si riattiva a ogni transcodifica o riavvio. Uccidere il processo del miner non basta, e aggiornare il pacchetto sopra un’installazione già compromessa nemmeno.

Prima di iniziare

Verificate che il backup dei dati del NAS sia aggiornato e, prima di toccare il pacchetto, copiate altrove la cartella dei dati di Plex (o almeno il file Preferences.xml): vi servirà sia per analizzarla con calma, sia per non perdere le librerie se decidete di reinstallare. Tenetela però in quarantena, non ripristinatela così com’è.

Verificare la versione e aggiornare

1. Su Synology aprite Package Center → Installati → Plex Media Server; su QNAP App Center. Se c’è un aggiornamento, installatelo.
2. Controllate la versione effettiva anche da Plex Web → Impostazioni → Generale, oppure da SSH sul Synology:

sudo synopkg list | grep -i plex

3. Se l’aggiornamento non compare, scaricate il pacchetto dall’Archivio download del produttore e installatelo manualmente. Se usate l’installazione Docker, aggiornate l’immagine e ricreate il container.

Chiudere l’esposizione su Internet

1. In Plex Web → Impostazioni → Accesso remoto disattivate l’accesso remoto, se non vi serve davvero.
2. Sul router o sul firewall eliminate l’inoltro della porta 32400 e disattivate UPnP. Su QNAP controllate anche myQNAPcloud → Configurazione automatica router.
3. Per guardare i contenuti da fuori, usate la VPN del firewall o del NAS.

Io su un NAS aziendale Plex lo sconsiglio in generale: è un servizio pensato per l’uso domestico, gira accanto ai dati dell’azienda e spesso viene installato e dimenticato. Se è lì per esigenze personali di qualcuno, questa è una buona occasione per spostarlo altrove. Le stesse regole sull’esposizione le avevo descritte per PHP2Shell sui NAS Synology e QNAP: valgono anche qui.

Cercare tracce di compromissione

Le indicazioni di Plex sono precise: processi chiamati myawesomeproxy, mylovelyminer o x12345, file .so o .dll sconosciuti nella cartella Codecs, connessioni in uscita verso proxystream.st, CPU alta senza riproduzioni in corso, opzioni del transcoder in Preferences.xml che non avete impostato voi. Da SSH (su QNAP i percorsi partono da /share invece che da /volume1):

ps aux | grep -E 'myawesomeproxy|mylovelyminer|x12345' | grep -v grep
sudo find /volume1 -type d -name Codecs -path '*Plex Media Server*' 2>/dev/null
sudo find /volume1 -name Preferences.xml -path '*Plex Media Server*' -exec grep -o 'TranscoderH264Options="[^"]*"' {} +

Il primo comando non deve restituire nulla; se il terzo restituisce un valore che non avete impostato voi, è un campanello d’allarme. Aprite poi la cartella Codecs trovata dal secondo e guardate se ci sono file recenti che non vi aspettate. Su QNAP lanciate anche Malware Remover con le definizioni aggiornate; su Synology Security Advisor.

Se il problema persiste

Se trovate anche solo una delle tracce sopra, considerate il server compromesso. Plex raccomanda una reinstallazione pulita senza riutilizzare la vecchia cartella dei dati; come minimo va svuotata la cartella Codecs e ripulito Preferences.xml. Poi disconnettete tutti i dispositivi dall’account Plex, cambiate la password di Plex e quella degli account del NAS, attivate la verifica in due passaggi.

Attenzione: tutto ciò che il servizio Plex poteva leggere va considerato esposto, comprese le cartelle condivise montate e le credenziali salvate, ad esempio quelle di backup verso il cloud. Se Plex aveva accesso in scrittura alle cartelle aziendali, verificate anche quelle e cambiate le credenziali dei servizi collegati. Nel dubbio, scollegate il NAS da Internet e aprite un ticket con il produttore.

Vi è capitato di trovare Plex su un NAS aziendale, magari con la porta 32400 aperta da anni? Raccontate nei commenti come l’avete gestito: possono essere utili ad altri.