Qué pasó
- QNAP informó el 6 de noviembre de 2026 que recibió reportes de usuarios cuyo servidor Plex Media Server, instalado en sus equipos NAS, parece haber sido comprometido mediante la cadena de fallas Plex2Shell. BleepingComputer publicó el aviso ese día.
- Plex2Shell reúne cuatro vulnerabilidades, identificadas como CVE-2026-96652, CVE-2026-96654, CVE-2026-96655 y CVE-2026-96656.
- El investigador Zach Main las descubrió y las reportó a Plex el 27 de julio. La explotación empezó poco después de que los detalles técnicos se hicieran públicos, el 16 de octubre.
- QNAP pide actualizar Plex Media Server a la última versión de su App Center, que hoy es la 1.43.3.10861.
Por qué importa
- Un NAS guarda copias de seguridad y archivos personales, y mucha gente le instala aplicaciones como Plex para ver películas y escuchar música desde la red doméstica.
- Según QNAP, si el servidor Plex vulnerable está expuesto a la web pública, el equipo y todo su contenido deben tratarse como comprometidos.
- Actualizar ahora no limpia lo que los atacantes ya hayan instalado: el aviso lo dice de forma explícita.
El dato
Tres días. Es el plazo que el organismo de ciberseguridad de Estados Unidos, CISA, dio a las dependencias federales para pasar a Plex 1.43.3.10861 o posterior, con prioridad máxima, cuando agregó las cuatro fallas a su catálogo de vulnerabilidades explotadas el 20 de octubre de 2026.
Contexto
QNAP aclara que las fallas existen solo en Plex Media Server. Sus sistemas operativos QTS, QuTS hero y otros no están afectados por sí mismos: el riesgo viene de la aplicación que el usuario instaló encima.
El equipo de respuesta de seguridad de la empresa confirmó ese punto, y ofrece asistencia técnica a los usuarios afectados. El boletín de seguridad incluye las señales de compromiso para revisar, y la recomendación del aviso es hacer una reinstalación limpia en los equipos que muestren esas señales.
Hay un aspecto práctico que se repite en este tipo de incidentes: la corrección existe desde hace semanas, pero muchos equipos domésticos y de pequeñas oficinas no se actualizan solos. Las aplicaciones de terceros dentro de un NAS dependen de que alguien las actualice a mano, y los equipos que quedan abiertos a internet para ver contenido desde fuera de casa son los más expuestos.
En Mamífero seguimos las fallas que se explotan en producción. Contamos que una contraseña larguísima abre cuentas sin clave en Linux con OpenSSH y musl y que atacantes usaron la actualización de cPGuard para robar datos. También que PHP corrigió dos fallas de ejecución remota estancadas dos años y que se publicaron datos de más de 40.000 funcionarios de Seguridad Nacional.
Qué viene
- Los usuarios con Plex expuesto a internet deben revisar las señales de compromiso del boletín de QNAP.
- Quienes ya estaban afectados necesitarán reinstalar el equipo, porque la actualización no elimina los accesos instalados.
- Conviene sacar el servidor Plex de la web pública si no es indispensable.
Cierre
El fallo no está en el NAS, sino en lo que se le instaló encima. Mientras haya equipos con aplicaciones sin actualizar abiertos a internet, esta cadena de fallas seguirá abriendo puertas.
Fuentes
- BleepingComputer, “QNAP says hackers breaching NAS devices in Plex2Shell attacks”, 6 de noviembre de 2026, enlace.
- Imagen de portada: Jemimus, CC BY 2.0, vía Wikimedia Commons
Editado por Rodrigo Cornejo. Quiénes escriben las notas
