何が起きたか
- QNAPは2026年11月6日、NAS機器にインストールされたPlex Media Serverが、Plex2Shellと呼ばれる脆弱性の連鎖によって侵害されたとみられるという報告をユーザーから受けたと発表した。BleepingComputerが同日、その勧告を掲載した。
- Plex2Shellは4つの脆弱性をまとめたもので、CVE-2026-96652、CVE-2026-96654、CVE-2026-96655、CVE-2026-96656として追跡されている。
- 研究者のZach Mainが発見し、7月27日にPlexに報告した。10月16日に技術的な詳細が公開された直後から、悪用が始まった。
- QNAPは、ユーザーにApp CenterでPlex Media Serverを最新版に更新するよう求めている。現在の最新版は1.43.3.10861だ。
なぜ重要か
- NASにはバックアップや個人のファイルが入っており、多くの人が、家庭内ネットワークで映画を観たり音楽を聴いたりするために、Plexなどのアプリケーションをその上にインストールしている。
- QNAPによれば、脆弱なPlexサーバーが公開ウェブに露出している場合、機器とその中身はすべて侵害されたものとして扱うべきだという。
- 今更新しても、攻撃者がすでに仕込んだものは消えない。勧告はこの点を明記している。
数字で見る
3日間。 2026年10月20日に、米国のサイバーセキュリティ機関CISAがこの4つの脆弱性を悪用が確認された脆弱性のカタログに加えた際、連邦の省庁に対し、最優先でPlex 1.43.3.10861以降へ移行するよう与えた期限だ。
背景
QNAPは、脆弱性はPlex Media Serverにのみ存在すると明言している。同社のオペレーティングシステムであるQTS、QuTS heroなどは影響を受けない。リスクは、ユーザーがその上にインストールしたアプリケーションから生じる。
同社のセキュリティインシデント対応チームがこの点を確認し、影響を受けたユーザーに技術的な支援を提供している。セキュリティ情報には、確認すべき侵害の兆候が載っており、勧告が勧めるのは、その兆候が見られる機器のクリーンな再インストールだ。
こうしたインシデントで繰り返される実務上の問題がある。修正は何週間も前から出ているのに、家庭や小規模オフィスの機器の多くは自動で更新されない。NAS内のサードパーティ製アプリケーションは、誰かが手動で更新するかどうかにかかっており、外出先でコンテンツを観られるようにインターネットに開放された機器が、最も危険にさらされている。
Mamíferoでは、実際に悪用されている脆弱性を追っている。長すぎるパスワードで、OpenSSHとmuslがパスワード未設定のLinuxアカウントを開いてしまうことや、攻撃者がcPGuardの更新を使ってデータを盗んだことを伝えた。ほかに、PHPが2年間止まっていた2件のリモート実行の脆弱性を修正したこと、国土安全保障省の職員4万人超のデータが公開されたことも伝えている。
今後
- Plexをインターネットに公開しているユーザーは、QNAPのセキュリティ情報にある侵害の兆候を確認すべきだ。
- すでに影響を受けた場合は、機器を再インストールする必要がある。更新では、仕込まれたアクセスは取り除かれないからだ。
- 必須でなければ、Plexサーバーを公開ウェブから外しておくとよい。
まとめ
欠陥はNASにあるのではなく、その上にインストールされたものにある。古いアプリケーションを載せた機器がインターネットに開いたままである限り、この脆弱性の連鎖は扉を開け続ける。
出典
- BleepingComputer「QNAP says hackers breaching NAS devices in Plex2Shell attacks」2026年11月6日、リンク。
- カバー画像：Jemimus、CC BY 2.0、Wikimedia Commonsより
編集：Rodrigo Cornejo。選定と検証の方法：ノートを書いているのは誰か。
