Security Alert · Schwachstelle

Plex Media Server auf QNAP-NAS: Lücken werden breit ausgenutzt, Update allein reicht nicht immer

Risikostufe

Hoch

Kategorie

Schwachstelle

Betroffene Systeme

Plex Media Server 1.43.2 und älter, besonders auf QNAP-NAS
Plex Media Server auf anderen NAS, Windows, Linux und Docker mit Version vor 1.43.3.10861
QNAP-Betriebssysteme QTS und QuTS hero sind nicht betroffen

Abhilfe verfügbar

Ja: Plex Media Server 1.43.3.10861 oder neuer (QNAP App Center); bei Erreichbarkeit aus dem Internet zusätzlich saubere Neuinstallation und Zugangsdaten tauschen

Quelle

QNAP Security Notice, QNAP FAQ, Plex

Was ist passiert?

Plex hat vier Schwachstellen im Medienserver Plex Media Server geschlossen (CVE-2026-96652, CVE-2026-96654, CVE-2026-96655 und CVE-2026-96656, zusammen „Plex2Shell“ genannt). Einzeln sind sie wenig gefährlich, verkettet kann ein Angreifer aber ohne Anmeldung aus der Ferne eigenen Code mit den Rechten des Plex-Dienstes ausführen. Seit am 16.10.2026 ein öffentlicher Beispiel-Exploit erschien, werden laut Plex nicht aktualisierte, aus dem Internet erreichbare Server breit angegriffen. Übernommene Server wurden für Krypto-Mining und als Proxy für fremden Datenverkehr missbraucht.

QNAP stellt die abgesicherte Version 1.43.3.10861 im App Center bereit. Einzelne Nutzer haben QNAP gemeldet, dass Plex auf ihrem NAS offenbar kompromittiert wurde; Datenverlust gab es laut QNAP-Support bisher nicht. Das NAS-Betriebssystem selbst (QTS, QuTS hero) ist nicht betroffen.

Angreifbar war Plex, wenn es aus dem Internet erreichbar war: über die Plex-Fernzugriffsfunktion, eine Portweiterleitung (Port 32400), automatisch per UPnP oder über die Router-Automatik von myQNAPcloud. Wichtig: Das Update schließt nur die Lücke. Was ein Angreifer bereits installiert hat, bleibt auf dem Gerät.

Wer ist betroffen?

Alle, die Plex Media Server in Version 1.43.2 oder älter betreiben, besonders auf QNAP-NAS, aber auch auf anderen NAS, unter Windows, Linux oder in Docker. In kleinen Unternehmen und Praxen stehen solche NAS oft neben Geschäftsdaten und Backups. Ein übernommenes Gerät gefährdet dann auch diese Daten und die dort gespeicherten Zugangsdaten.

Wie hoch ist das Risiko?

Hoch. Die Lücken werden laut Plex aktiv und breit ausgenutzt, ein Exploit ist öffentlich, eine Anmeldung ist nicht nötig. War Plex vor dem Update aus dem Internet erreichbar, reicht das Update allein nicht.

So schützen Sie sich

1. Plex Media Server sofort auf 1.43.3.10861 oder neuer aktualisieren (QNAP: App Center > Meine Apps) und die Version in Plex Web unter Einstellungen > Allgemein prüfen; nicht auf spätere Versionen warten.
2. War Plex mit Version 1.43.2 oder älter aus dem Internet erreichbar: das NAS als möglicherweise kompromittiert behandeln, Plex entfernen und sauber neu installieren, den Inhalt des Codecs-Ordners nicht wiederverwenden.
3. Auf Spuren prüfen: unbekannte Prozesse von Plex, fremde .so- oder .dll-Dateien im Codecs-Ordner, dauerhaft hohe CPU-Last ohne Wiedergabe, Funde des QNAP Malware Remover.
4. Im Plex-Konto alle Geräte abmelden und das Passwort ändern; NAS-Passwörter ändern, Zwei-Faktor-Anmeldung aktivieren und auf dem NAS gespeicherte Zugangsdaten (Backup-Jobs, Cloud-Verbindungen) erneuern.
5. Plex-Fernzugriff abschalten, Portweiterleitung 32400 und myQNAPcloud-Router-Automatik entfernen, UPnP am Router deaktivieren; Zugriff von außen nur per VPN.
6. Private Medien- oder Zusatz-Apps nicht auf Geräten mit Firmendaten und Backups betreiben.

Quellen

• QNAP Security Notice: Plex Media Server Vulnerabilities (Plex2Shell), 06.11.2026
• QNAP FAQ: Plex2Shell – Check and Remediation for QNAP NAS Users, 06.11.2026
• Plex: Important Security Update for Plex Media Server v1.43.2 and earlier (Update: CVE details and active exploitation), 19.10.2026

Mehr zum Thema

• IT-Sicherheit
• Netzwerk & Firewall
• Alle Security Alerts

Stand: 10.11.2026