QNAP ha lanzado una alerta urgente a los propietarios de sus dispositivos de almacenamiento conectado a la red (NAS): deben actualizar Plex Media Server a la última versión publicada en QNAP App Center. El motivo es la explotación activa de la cadena de fallos Plex2Shell, que los atacantes están usando para tomar el control de estos equipos.
La compañía ha confirmado que ha recibido varios avisos de clientes que sospechan que sus NAS han sido vulnerados. En un comunicado difundido hoy, QNAP señala: «QNAP ha recibido informes de algunos usuarios de que Plex Media Server en sus NAS parece haber sido comprometido a través de las vulnerabilidades [Plex2Shell], y el soporte técnico de QNAP está ayudando a los usuarios afectados».
Qué es la cadena Plex2Shell
Plex2Shell agrupa cuatro vulnerabilidades de Plex Media Server: CVE-2026-96652, CVE-2026-96654, CVE-2026-96655 y CVE-2026-96656. El investigador de seguridad Zach Main descubrió los fallos y los notificó a Plex el 27 de julio. La explotación empezó poco después de que los detalles técnicos completos se divulgaran el 16 de octubre.
La Agencia de Ciberseguridad y Seguridad de Infraestructuras (CISA) incorporó las cuatro vulnerabilidades a su catálogo de fallos explotados conocidos el 20 de octubre de 2026. La agencia exigió a las agencias federales actualizar a Plex 1.43.3.10861 o posterior en un plazo de tres días, con la máxima prioridad.
Los NAS de QNAP, blanco recurrente
Los dispositivos NAS de QNAP son ordenadores especializados con almacenamiento integrado que permiten guardar, consultar y compartir archivos por red. Suelen emplearse para copias de seguridad de equipos y para almacenar contenido multimedia. Los usuarios pueden ampliar sus funciones instalando aplicaciones desde QNAP App Center, como Plex Media Server, que emite películas, series y música directamente desde las unidades del NAS.
QNAP recomienda actualizar Plex Media Server a la última versión disponible en QNAP App Center, actualmente la 1.43.3.10861, para protegerse de los ataques Plex2Shell. La empresa aclara: «El Equipo de Respuesta a Incidentes de Seguridad de Productos de QNAP (QNAP PSIRT) ha confirmado que las vulnerabilidades existen solo en Plex Media Server; QTS, QuTS hero y otros sistemas operativos de QNAP no se ven afectados en sí mismos».
Medidas recomendadas a los usuarios
QNAP advierte de que los usuarios deben considerar comprometidos sus NAS y todo su contenido personal si ejecutan un servidor Plex vulnerable expuesto en la web pública. La empresa subraya que actualizar ahora no elimina los payloads que los atacantes ya hayan instalado en el dispositivo.
Las acciones recomendadas son:
- Revisar las señales de compromiso publicadas en el boletín de seguridad.
- Realizar una reinstalación limpia del sistema operativo (QTS o QuTS hero).
- Restablecer después las credenciales de Plex y del NAS.
- Deshabilitar las funciones de acceso remoto a Plex y dejar de reenviar el puerto 32400 si no se necesita ese acceso.
- Usar una VPN para conectarse de forma remota cuando sea imprescindible.
QNAP ha publicado una guía de remediación detallada, paso a paso, para ejecutar estas medidas. La compañía también se ofrece a analizar los registros de posibles compromisos, que los usuarios pueden enviar a través de su portal de soporte técnico.
Contexto adicional
La cadena Plex2Shell se ha relacionado con otros incidentes. CISA ya había advertido de que los atacantes encadenan fallos de Plex en estos ataques para vulnerar servidores. Además, más de 36.000 servidores Plex expuestos son vulnerables a los fallos recientes. Otras noticias relacionadas incluyen la explotación de nuevas vulnerabilidades en MikroTik RouterOS para secuestrar routers, un fallo de ejecución remota de código en WordPress marcado como explotado activamente, y la advertencia de CISA sobre el fallo Fragnesia en Linux encadenado en ataques PHP2Shell.
Deja una respuesta