QNAP ha confirmado hoy, 6 de noviembre de 2026, que está recibiendo avisos de clientes cuyos NAS han sido comprometidos a través de Plex2Shell, la cadena de cuatro vulnerabilidades de Plex Media Server que permite ejecutar código sin credenciales. El mensaje del fabricante es inusualmente duro: si tu servidor Plex vulnerable estaba expuesto a internet, dalo por comprometido, y actualizar ya no basta para limpiarlo.
Qué ha pasado
El investigador Zach Main reportó las cuatro vulnerabilidades a Plex el 27 de julio de 2026, y Plex las corrigió en la versión 1.43.3.10861, publicada a principios de agosto. Todo cambió cuando los detalles técnicos y el código de explotación se hicieron públicos el 16 de octubre: al día siguiente ya había ataques, y el 19 de octubre Plex confirmó que se explotaban «de forma activa y generalizada». CISA añadió los cuatro CVE a su catálogo de vulnerabilidades explotadas (KEV) el 20 de octubre.
El aviso de hoy de QNAP confirma que la campaña sigue viva: su equipo de respuesta a incidentes (QNAP PSIRT) está asistiendo a usuarios con signos de compromiso en sus NAS. El fabricante subraya que el problema afecta solo a Plex Media Server; QTS y QuTS hero, los sistemas operativos de sus NAS, no son vulnerables.
Cómo funciona la cadena
Ninguno de los cuatro fallos es devastador por sí solo —sus puntuaciones van de 5,3 a 8,6 según Field Effect—, pero encadenados dan a un atacante sin cuenta en el servidor ejecución de código con los permisos del proceso de Plex. El investigador que los descubrió valora la cadena completa como un 10 sobre 10:
- CVE-2026-96652 (SSRF sin autenticación). El atacante engaña al servidor para que haga peticiones a destinos elegidos por él, vía el endpoint
/player/timeline. - CVE-2026-96654 (acceso a funciones internas). Las interfaces internas confían en las peticiones que llegan desde el propio equipo, así que el atacante invoca funciones de los agentes de metadatos que nunca deberían estar expuestas.
- CVE-2026-96655 (robo del token de administrador). Una de esas funciones filtra el token de administrador del propietario del servidor.
- CVE-2026-96656 (escritura en la carpeta Codecs). Con el token, el atacante hace que el servidor escriba una librería maliciosa en la carpeta Codecs. Plex las carga automáticamente al transcodificar, sin comprobar firmas ni nombres, y el código del atacante se ejecuta.
Afecta a cualquier Plex Media Server anterior a la 1.43.3.10861 alcanzable desde internet, normalmente por el puerto 32400 abierto en el router, por UPnP o mediante myQNAPcloud. Las apps cliente no están afectadas: el riesgo está solo en el servidor. Y los NAS son un objetivo jugoso: guardan copias de seguridad, fotos y documentos, no solo películas.
Qué están haciendo los atacantes
Según Plex, los servidores comprometidos se usan para minar criptomonedas y para ejecutar software proxy que alquila la conexión a internet de la víctima a terceros. Los indicadores de compromiso publicados por Plex y QNAP son concretos: procesos iniciados por Plex llamados myawesomeproxy, mylovelyminer o x12345; archivos .so o .dll desconocidos en la carpeta Codecs; conexiones salientes al dominio proxystream.st; CPU alta y sostenida cuando no se está reproduciendo nada; y opciones del transcodificador que no configuraste, como TranscoderH264Options, en Preferences.xml.
Qué hacer: actualizar no basta
QNAP recomienda actualizar Plex Media Server a la 1.43.3.10861 o superior desde el App Center, y comprobar en Plex Web (Ajustes > General) que la compilación instalada es esa o una posterior. Pero ojo: la actualización cierra la puerta de entrada, pero no elimina el software malicioso que los atacantes ya hayan instalado. Si tu servidor vulnerable era accesible desde internet:
- Copia la carpeta de registros de Plex antes de desinstalar, para la investigación de QNAP.
- Reinstala el sistema operativo del NAS desde cero (QTS o QuTS hero) y vuelve a instalar Plex desde el App Center sin restaurar la antigua carpeta Codecs.
- Cierra la sesión de todos los dispositivos en tu cuenta de Plex antes de cambiar la contraseña, porque el token de administrador puede haber quedado expuesto.
- Cambia las contraseñas del NAS y rota todas las credenciales guardadas en el dispositivo, incluidas las de las copias de seguridad y las conexiones en la nube.
- Desactiva el acceso remoto de Plex y elimina el reenvío del puerto 32400 si solo ves contenido en casa. Si necesitas acceso desde fuera, hazlo a través de una VPN.
El ángulo Blue Team: qué vigilaría un SOC
Plex2Shell es un caso de manual de por qué el perímetro doméstico y de pequeña empresa merece la misma atención que el corporativo. Un SOC debería inventariar los servicios expuestos (buscar servidores Plex en el puerto 32400), detectar la primera petición de la cadena en el proxy inverso —/player/timeline con una URL completa en el parámetro—, alertar ante archivos nuevos en la carpeta Codecs, procesos hijos de Plex con nombres desconocidos o cambios en Preferences.xml, y monitorizar el tráfico saliente hacia proxystream.st. Y tratar la configuración como un evento de seguridad: un puerto abierto por UPnP sin aprobación debería generar una alerta.
La lección es incómoda: el parche llevaba disponible desde agosto y la explotación masiva empezó en octubre. Tres meses de ventana entre la corrección y el ataque, y aun así los avisos de compromiso siguen llegando en noviembre. En los NAS, que no se actualizan solos, la diferencia entre estar parcheado y estar comprometido la marca revisar la versión instalada.
Fuentes
- BleepingComputer: QNAP says hackers breaching NAS devices in Plex2Shell attacks — https://www.bleepingcomputer.com/news/security/qnap-says-hackers-breaching-nas-devices-in-plex2shell-attacks/
- Cyber Insider: QNAP warns of ongoing Plex2Shell attacks on NAS devices — https://cyberinsider.com/qnap-plex2shell-attacks-nas-devices/
- SecureLayer7: What is Plex2Shell? — http://securelayer7.net/learn-pdf/web-exploitation/what-is-plex2shell.pdf
- Tech Insider: Plex2Shell Vulnerability: Patch Plex Server Now — https://tech-insider.org/plex2shell-vulnerability-patch-now-2026/
- Gurucul: Plex2Shell: Four Vulnerabilities Enabling Remote Code Execution — https://gurucul.com/blog/plex2shell-four-vulnerabilities-chained-to-enable-remote-code-execution-rce/