Le 6 novembre 2026, QNAP a publié des consignes après des signalements de compromission présumée de Plex Media Server sur des NAS. La chaîne Plex2Shell combine quatre failles pour exécuter du code sans connexion préalable. Un NAS de petite entreprise peut contenir des sauvegardes et des accès à d’autres services : appliquer le correctif ne répond donc pas à toutes les questions de reprise.
Une application tierce ouvre le chemin
La chaîne réunit CVE-2026-96652, CVE-2026-96654, CVE-2026-96655 et CVE-2026-96656. QNAP distingue clairement Plex de QTS et QuTS hero. Le reportage de BleepingComputer replace les nouveaux signalements dans la chronologie de divulgation; SecQuill explique pourquoi un système NAS non vulnérable peut néanmoins héberger une application qui l’est. Ne concluez pas que tous les NAS QNAP ont été piratés.
Reconstituer l’exposition de Plex
Vérifiez la version et l’historique de l’accès distant Plex, des redirections du port 32400 et des ouvertures automatiques par le routeur. Un NAS accessible uniquement au réseau local ne présente pas la même situation qu’une installation exposée avec Plex 1.43.2 ou une version antérieure. Notez ce qui était actif pendant cette période, même si la configuration a déjà changé.
Corriger puis suivre la procédure officielle
Installez au minimum Plex 1.43.3.10861 depuis App Center. Si l’installation était exposée, suivez la procédure actuelle de QNAP pour préserver les journaux utiles, réinstaller proprement Plex et contrôler les indices de compromission. Ne restaurez pas l’ancien contenu du dossier Codecs : Plex téléchargera les composants nécessaires. Faites-vous assister avant une opération qui supprimerait des données ou des preuves. Les consignes peuvent évoluer avec l’enquête.
Renouveler les accès au-delà de Plex
Pour un NAS potentiellement compromis, examinez les dossiers accessibles au processus Plex et les secrets conservés par les tâches de sauvegarde ou connexions cloud. QNAP demande de déconnecter les appareils Plex avant le changement du mot de passe, puis de renouveler les accès NAS et ceux stockés par les autres services. Depuis un appareil sain, préparez une liste pour ne pas oublier un ancien compte de sauvegarde.
Le lien avec Soclyde
Cette liste d’accès peut être organisée dans le coffre chiffré Soclyde, conservé sur les appareils de l’utilisateur. Un mot de passe distinct pour le NAS, Plex et chaque service évite de réutiliser le même secret. Soclyde ne nettoie pas le NAS et ne ferme pas ses sessions : ces actions restent à effectuer dans Plex, QNAP et les services reliés.
À retenir
Distinguez trois résultats : Plex est corrigé, le NAS a été examiné et les accès exposés ont été remplacés. Notre guide mot de passe piraté : que faire aide à organiser cette dernière étape.
