发生了什么
- QNAP 于 2026年11月6日报告，称收到用户反馈，其 NAS 设备上安装的 Plex Media Server 似乎已通过 Plex2Shell 漏洞链被攻陷。BleepingComputer 当天发布了该公告。
- Plex2Shell 汇集了四个漏洞，编号为 CVE-2026-96652、CVE-2026-96654、CVE-2026-96655 和 CVE-2026-96656。
- 研究人员 Zach Main 发现了这些漏洞，并于7月27日向 Plex 报告。技术细节在10月16日公开后不久，攻击就开始了。
- QNAP 请用户在 App Center 中把 Plex Media Server 更新到最新版本，目前为 1.43.3.10861。
为什么重要
- NAS 里存放着备份和个人文件，许多人还在上面安装 Plex 等应用，用来在家庭网络中看电影、听音乐。
- 据 QNAP 称，如果存在漏洞的 Plex 服务器暴露在公共网络上，设备及其中的全部内容都应被视为已遭攻陷。
- 现在更新并不能清除攻击者已经装上的东西：公告对此有明确说明。
关键数字
三天。 2026年10月20日，美国网络安全机构 CISA 把这四个漏洞列入其已被利用漏洞目录时，给联邦部门定下的期限是三天，要求以最高优先级迁移到 Plex 1.43.3.10861 或更高版本。
背景
QNAP 明确指出，这些漏洞只存在于 Plex Media Server 中。其操作系统 QTS、QuTS hero 等本身不受影响：风险来自用户在其上安装的应用。
该公司的安全事件响应团队确认了这一点，并为受影响的用户提供技术协助。安全公告列出了需要检查的入侵迹象，公告的建议是，对出现这些迹象的设备进行干净的重新安装。
这类事件中有一个现实问题反复出现：修复补丁已经存在数周，但许多家用和小型办公室设备并不会自动更新。NAS 内的第三方应用要靠人手动更新，而为了在外出时也能观看内容而向互联网开放的设备，是最容易受攻击的。
在 Mamífero，我们关注正在被实际利用的漏洞。我们报道过超长密码可借助 OpenSSH 和 musl 打开无密码的 Linux 账户，以及攻击者利用 cPGuard 更新窃取数据。还有PHP 修复了两个搁置两年的远程执行漏洞，以及4万多名国土安全部工作人员的数据被公开。
接下来
- 把 Plex 暴露在互联网上的用户，应对照 QNAP 公告中的入侵迹象进行检查。
- 已经受影响的用户需要重新安装设备，因为更新并不会清除已植入的访问通道。
- 如果不是必需，最好让 Plex 服务器脱离公共网络。
一句话总结
漏洞不在 NAS 本身，而在装在它上面的东西。只要装着过时应用的设备继续向互联网开放，这条漏洞链就会不断打开大门。
来源
- BleepingComputer，“QNAP says hackers breaching NAS devices in Plex2Shell attacks”，2026年11月6日，链接。
- 封面图片：Jemimus，CC BY 2.0，来自 Wikimedia Commons
编辑：Rodrigo Cornejo。我们如何挑选和核实：谁在写这些笔记。
