NAS QNAP piraté : la faille Plex2Shell transforme les serveurs en mineurs de crypto

QNAP a confirmé le 6 novembre 2026 que des clients signalent des NAS compromis via l’application Plex Media Server. Un NAS QNAP piraté par cette chaîne de failles peut servir de mineur de cryptomonnaie ou de relais pour du trafic tiers. Mettre à jour ne suffit pas toujours.

L’alerte vient du PSIRT, l’équipe de réponse aux incidents de sécurité de QNAP. Le constructeur taïwanais indique que plusieurs utilisateurs lui ont remonté des soupçons de compromission de leur installation Plex, un serveur multimédia très répandu sur les NAS (serveurs de stockage en réseau). QNAP ne publie ni le nombre d’appareils touchés ni d’évaluation des données consultées. Le système du NAS lui-même, QTS ou QuTS hero, n’est pas vulnérable : c’est l’application Plex installée dessus qui sert de porte d’entrée.

Quatre failles enchaînées, une exécution de code sans mot de passe

Baptisée Plex2Shell, l’attaque combine quatre vulnérabilités référencées CVE-2026-96652, CVE-2026-96654, CVE-2026-96655 et CVE-2026-96656. Selon IT-Connect, la chaîne part d’une faille SSRF (le serveur est amené à émettre lui-même des requêtes internes), passe par l’accès à des fonctions réservées à l’interface locale, récupère le jeton d’administration du propriétaire, puis écrit un fichier arbitraire dans le dossier des codecs.

Résultat : exécution de code à distance, sans authentification, avec les droits du processus Plex. Toutes les versions de Plex Media Server jusqu’à la 1.43.2 sont concernées. Le correctif est disponible depuis la version 1.43.3.10861.

Un calendrier qui s’est accéléré

• 27 juillet 2026 : le chercheur Zach Main signale les failles à Plex, d’après BleepingComputer.
• Septembre : Plex demande à ses utilisateurs de passer en 1.43.3, sans détail technique.
• 16 octobre : publication d’une preuve de concept ; les exploitations démarrent dans la foulée.
• 20 octobre : l’agence américaine CISA inscrit les quatre CVE à son catalogue des failles activement exploitées.
• 6 novembre : QNAP publie son bulletin et confirme des NAS compromis.

Ce que font les attaquants sur un NAS QNAP piraté

D’après Plex, relayé par IT-Connect et KultureGeek, les serveurs détournés servent surtout à miner de la cryptomonnaie et à relayer le trafic de tiers via la connexion internet de la victime. Pour une entreprise, ce second usage pose un problème particulier : des activités illicites peuvent sortir avec l’adresse IP de la société.

IT-Connect liste plusieurs indicateurs de compromission :

• des processus inconnus lancés par Plex (myawesomeproxy, mylovelyminer, x12345) ;
• des fichiers .so ou .dll inhabituels dans le dossier Codecs ;
• des connexions sortantes vers le domaine proxystream.st ;
• un processeur durablement chargé sans aucune lecture vidéo en cours ;
• une détection MR2104 par l’outil Malware Remover de QNAP.

Pourquoi les PME et les communes sont concernées

Plex est souvent perçu comme un usage domestique. Pourtant, dans les TPE, les associations ou les petites mairies, le NAS sert fréquemment à tout : partage de fichiers, sauvegardes, parfois archives de documents. Une application installée « pour essayer » cohabite alors avec des données métier.

Le risque dépend surtout de l’exposition. Selon IT-Connect, un serveur vulnérable est atteignable si l’accès à distance Plex est activé, si le port 32400 est redirigé sur la box ou le routeur, si l’UPnP ouvre automatiquement les ports, ou si la configuration automatique de myQNAPcloud a été utilisée. Ces réglages, faits une fois puis oubliés, sont fréquents sur les réseaux d’entreprise gérés sans prestataire. L’épisode rappelle celui des standards téléphoniques exposés, évoqué récemment avec la faille Mitel signalée par le CERT-FR.

Les réflexes à adopter dès maintenant

Si Plex tourne sur votre NAS

• Vérifiez la version dans les réglages généraux de Plex Web et passez en 1.43.3.10861 ou plus via l’App Center.
• Si le serveur a été exposé à internet en version vulnérable, considérez le NAS comme potentiellement compromis : la mise à jour ne supprime pas ce qu’un attaquant a déjà installé.
• Suivez la procédure de QNAP : recherche des traces d’intrusion, réinstallation propre, puis renouvellement des identifiants.
• Déconnectez tous les appareils du compte Plex avant de changer le mot de passe, car le jeton d’administration a pu fuiter.
• Renouvelez aussi les mots de passe du NAS et ceux des services connectés (sauvegardes, cloud).

Pour réduire l’exposition

• Désactivez l’accès à distance quand il n’est pas indispensable et supprimez les redirections de ports associées.
• Coupez l’UPnP sur le routeur.
• Pour travailler à distance, passez par un accès nomade sécurisé par VPN plutôt que par un port ouvert.
• Séparez les usages : pas d’application de loisir sur un NAS qui héberge des données professionnelles.

Pour aller plus loin, un audit de sécurité informatique permet d’inventorier les équipements visibles depuis internet. Les collectivités peuvent s’appuyer sur un accompagnement dédié à la cybersécurité des collectivités, d’autant que le cadre réglementaire se durcit avec la loi Résilience qui transpose NIS 2.

Conclusion

Plex2Shell ne vise pas QNAP en tant que tel, mais il montre qu’une seule application exposée suffit à faire tomber un équipement de stockage. Un NAS QNAP piraté de cette façon coûte de l’électricité, de la bande passante et, potentiellement, la confiance dans les données qu’il héberge. Faites l’inventaire de ce qui tourne sur vos NAS, fermez ce qui n’a pas besoin d’être ouvert et, en cas de doute, repartez d’une installation saine.

Source : IT-Connect – Plex2Shell : QNAP fait état de NAS compromis, vous devez patcher ! (9 novembre 2026)
Voir aussi : BleepingComputer – QNAP says hackers breaching NAS devices in Plex2Shell attacks (6 novembre 2026)
KultureGeek – Plex2Shell : QNAP alerte sur des NAS compromis, la mise à jour ne suffit pas toujours (7 novembre 2026)