Seit 16. Oktober 2026 kursiert ein Exploit für Plex Media Server; QNAP meldet gekaperte NAS und rät zum Update auf Version 1.43.3.
Das Wichtigste in Kürze
- QNAP warnte am 6. November 2026 vor einer Kette aus vier Sicherheitslücken in der App Plex Media Server, zusammen „Plex2Shell“ genannt (CVE-2026-96652, CVE-2026-96654, CVE-2026-96655, CVE-2026-96656).
- Die Lücken erlauben einem Angreifer ohne eigenes Benutzerkonto, auf einem ungepatchten, aus dem Internet erreichbaren Server beliebigen Code mit den Rechten von Plex auszuführen.
- QNAP bestätigt einzelne kompromittierte NAS-Geräte und rät zum sofortigen Update auf Plex Media Server 1.43.3 (Build 1.43.3.10861) oder neuer.
Wer auf seinem NAS die App Plex Media Server nutzt, sollte jetzt die Version prüfen. QNAP bestätigte am 6. November 2026, dass Angreifer über vier verkettete Lücken bereits Geräte übernommen haben.
Betroffen ist ausschließlich die App Plex Media Server, nicht das NAS-Betriebssystem QTS oder QuTS hero selbst. Wer die Software in Version 1.43.2 oder älter betreibt und sie aus dem Internet erreichbar gemacht hat – etwa über Plex Remote Access, eine Portweiterleitung oder UPnP –, trägt laut QNAP ein reales Risiko.
Was ist Plex2Shell?
Laut der Sicherheitsmitteilung von QNAP vom 6. November 2026 stecken vier einzelne Schwachstellen in Plex Media Server, von denen jede für sich nur ein begrenztes Risiko birgt. Verkettet erlauben sie einem Angreifer aus dem Netz, ohne eigenes Benutzerkonto Zugriff auf interne Funktionen zu erhalten, den Administrator-Token des Serverbesitzers auszulesen und eine Datei im Codecs-Ordner von Plex zu platzieren. Dadurch lässt sich beliebiger Code mit den Rechten des Plex-Prozesses ausführen.
Die vier Lücken tragen die Kennungen CVE-2026-96652, CVE-2026-96654, CVE-2026-96655 und CVE-2026-96656. QNAP weist in seiner Mitteilung ausdrücklich darauf hin, dass die eigenen Betriebssysteme QTS und QuTS hero „nicht selbst betroffen“ seien – die Schwachstellen liegen allein in der zusätzlich installierbaren App Plex Media Server, die viele QNAP-Nutzende über das App Center laden.
Zeitlinie: vom Exploit zum ersten Treffer
Nach Angaben von Plex, die QNAP in seiner Mitteilung zitiert, kursierte ab dem 16. Oktober 2026 im Netz öffentlich einsehbarer Beweiscode für die Lücken. Drei Tage später berichtete Plex über breit angelegte Angriffe auf ungepatchte, aus dem Internet erreichbare Server. Angreifer installierten demnach unter anderem Programme zum Mining von Kryptowährungen sowie Proxy-Software, die fremden Internetverkehr über die Internetverbindung des Opfers leitet.
QNAP erklärt, inzwischen Berichte einzelner Nutzende über kompromittierte Geräte erhalten zu haben, und unterstützt Betroffene. Konkrete Zahlen zu betroffenen Geräten weltweit oder in Deutschland nennt die Mitteilung nicht – NAS-Systeme mit Plex sind aber auch bei deutschen Privathaushalten und kleinen Unternehmen weit verbreitet, die damit eigene Film- und Serien-Bibliotheken im Heimnetz oder von außen abrufbar machen.
Was NAS-Besitzende jetzt tun sollten
QNAP empfiehlt ein mehrstufiges Vorgehen, je nachdem, ob der eigene Plex-Server jemals aus dem Internet erreichbar war.
Checkliste: Plex auf dem NAS absichern
- Version prüfen: In Plex Web unter „Einstellungen > Allgemein“ nachsehen, ob Build 1.43.3.10861 oder neuer installiert ist.
- Sofort aktualisieren: Im App Center unter „Meine Apps“ Plex Media Server auf die neueste Version bringen.
- Erreichbarkeit prüfen: Kontrollieren, ob Plex Remote Access aktiv war oder Port 32400 manuell, per UPnP oder über myQNAPcloud nach außen geöffnet wurde.
- Bei Verdacht auf Zugriff von außen: Das NAS als potenziell kompromittiert behandeln, Plex-Logs sichern, Plex neu installieren, ohne den alten Codecs-Ordner wiederherzustellen, und anschließend alle Plex- und NAS-Zugangsdaten zurücksetzen.
- Zugriff einschränken: Plex Remote Access deaktivieren, Portweiterleitungen entfernen und für den Fernzugriff stattdessen ein VPN nutzen.
Wer unsicher ist, ob der eigene Server je von außen erreichbar war, findet die Einstellung in Plex unter „Einstellungen > Remote-Zugriff“. War sie aktiviert, rät QNAP ausdrücklich zur Neuinstallation statt zu einem bloßen Update, weil sich eine bereits erfolgte Kompromittierung sonst nicht zuverlässig beseitigen lässt.
Anzeichen für eine Kompromittierung
QNAP nennt mehrere Warnzeichen, auf die Betroffene achten sollten: unbekannte Dateien im Codecs-Ordner von Plex, ausgehende Verbindungen zur Adresse proxystream.st sowie dauerhaft hohe Prozessorlast, ohne dass tatsächlich ein Video abgespielt wird. Wer eines dieser Anzeichen findet, sollte zunächst alle Geräte im eigenen Plex-Konto abmelden, bevor das Passwort geändert wird, und anschließend auch alle auf dem NAS gespeicherten Zugangsdaten erneuern, etwa für Backups oder Cloud-Verbindungen.
Offen bleibt in der QNAP-Mitteilung, wie viele Geräte in Deutschland betroffen sind und ob Angreifer über die kompromittierten NAS-Systeme hinaus auch auf andere Geräte im selben Heimnetz zugreifen konnten. QNAP äußert sich dazu nicht.
Häufige Fragen
Ist mein NAS automatisch betroffen, wenn ich ein QNAP-Gerät nutze?
Nein. Betroffen ist ausschließlich die zusätzlich installierte App Plex Media Server in Version 1.43.2 oder älter. Das NAS-Betriebssystem QTS beziehungsweise QuTS hero ist laut QNAP nicht selbst betroffen.
Reicht ein Update, um sicher zu sein?
Nur, wenn der Server nie aus dem Internet erreichbar war. War Plex Remote Access aktiv oder Port 32400 geöffnet, rät QNAP zusätzlich zur Neuinstallation von Plex und zum Zurücksetzen aller Zugangsdaten.
Was haben Angreifer mit gekaperten NAS-Systemen gemacht?
Laut den von QNAP zitierten Angaben von Plex installierten Angreifer vor allem Software zum Mining von Kryptowährungen und Proxy-Programme, die fremden Datenverkehr über die Internetverbindung der Opfer leiten.
Seit wann ist die Lücke bekannt?
Öffentlicher Beweiscode kursierte laut Plex seit dem 16. Oktober 2026. QNAP veröffentlichte seine eigene Sicherheitsmitteilung am 6. November 2026, nachdem erste Kompromittierungen gemeldet worden waren.
Leserfrage: Haben Sie Ihr NAS bereits aktualisiert, oder war Ihr Plex-Server aus dem Internet erreichbar? Schreiben Sie uns in den Kommentaren, welche Erfahrungen Sie mit der Absicherung gemacht haben.
Quellen und Stand
Recherche- und Datenstand: 9. November 2026. Angaben zu Angriffsverlauf und betroffenen Diensten stammen aus der zitierten QNAP-Mitteilung, die sich dabei ihrerseits auf Angaben von Plex bezieht.
Transparenzhinweis: Bei Recherche, Strukturierung und Erstellung dieses Beitrags kamen KI-gestützte Werkzeuge zum Einsatz. Die verwendeten Quellen sind im Artikel aufgeführt. Die Veröffentlichung erfolgt erst nach manueller redaktioneller Freigabe.
Artikel teilen
