// COMPUTERBASE — CYBERSECURITY
Plex2Shell: Synology und QNAP raten zum Update des Plex Media Servers
Sowohl QNAP als auch Synology warnen vor vier Schwachstellen in der Drittanbieteranwendung Plex Media Server, die unter der Bezeichnung Plex2Shell zusammengefasst werden. Die unter CVE-2026-96652, CVE-2026-96654, CVE-2026-96655 und CVE-2026-96656 geführten Lücken bestehen im Plex Media Server 1.43.2 und früher.
Jede der vier Sicherheitslücken, die mit einem Score zwischen 4,3 und 7,2 bewertet wurden, stellt für sich genommen zwar ein begrenztes Risiko dar, ermöglichen aber zusammen einem nicht authentifizierten entfernten Angreifer die Ausführung beliebigen Codes mit den Rechten des Plex-Media-Server-Prozesses.
Laut Plex wurde am 16. Oktober ein öffentliches Proof of Concept veröffentlicht, und seitdem wurden internetzugängliche Server, die nicht aktualisiert wurden, weit verbreiteten Angriffen ausgesetzt. Kompromittierte Systeme wurden bereits genutzt, um Kryptowährungs-Miner und Proxy-Software auszuführen. Wenn der Plex media Server vor dem Update aus dem Internet erreichbar war, empfiehlt QNAP darüber hinaus eine Prüfung des Systems auf eine bereits erfolgte Kompromittierung. Denn das Update schließt nur den Einstiegspunkt eines neuen Angriffs, entfernt aber keinen bereits erfolgten Fremdzugriff oder installierte Dienste.
Nutzer eines Synology- oder QNAP-NAS, auf dem der Plex Media Server läuft, müssen das entsprechende Paket aktualisieren, um die Lücken zu schließen und das System zu schützen. Synology hat dafür im Paketzentrum des DiskStation Managers (DSM) für DSM 7.4, DMS 7.3, DSM 7.2.2 und DSM 7.2.1 aktualisierte Pakete (Version 1.43.5.11079-720011079 oder höher) zur Verfügung gestellt und auch QNAP hat über das App Center in QTS und QuTS hero aktualisierte Versionen des Plex Media Servers 1.43.3 (Build 1.43.3.10861 und später) veröffentlicht.
Die NAS-Betriebssysteme Synology DSM und QNAP QTS selbst sind von den Schwachstellen nicht betroffen und benötigen ihrerseits kein Update.