Si votre NAS QNAP a été piraté via Plex, la mise à jour ne suffit pas à le nettoyer

Le processeur tourne à plein régime alors qu'aucun film n'est en lecture. C'est l'un des signes que Plex demande de guetter sur ses serveurs multimédias. Depuis le 6 novembre, les propriétaires de NAS QNAP, ces boîtiers de stockage en réseau que l'on trouve chez de nombreux particuliers et PME, ont une raison de plus d'y regarder de près.

Dans un avis publié ce jour-là, le fabricant taïwanais dit avoir reçu des signalements d'utilisateurs dont le logiciel Plex Media Server, installé sur leur NAS, « semble avoir été compromis ». En cause : Plex2Shell, une chaîne de quatre failles que Plex dit exploitée « activement et largement ». Les versions 1.43.2 et antérieures sont vulnérables. La version corrigée, 1.43.3.10861, est disponible dans l'App Center de QNAP. Les systèmes de QNAP, QTS et QuTS hero, ne sont pas touchés en eux-mêmes. Mais le fabricant prévient que la mise à jour n'efface rien de ce qu'un attaquant aurait déjà installé.

Quatre failles anodines seules, dangereuses une fois enchaînées

L'histoire commence l'été dernier. Selon BleepingComputer, le chercheur Zach Main signale les failles à Plex le 27 juillet. L'éditeur publie le 1^er septembre une version corrigée, sans détailler les problèmes. Le 16 octobre, les détails techniques deviennent publics, avec un code de démonstration, et les attaques suivent rapidement. Plex complète son avis le 19 octobre. Le lendemain, l'agence américaine de cybersécurité CISA ajoute les quatre failles à son catalogue des vulnérabilités exploitées. Nous avions raconté ce basculement dans notre article du 21 octobre.

Prises une à une, ces failles présentent un risque limité, souligne QNAP. La première (CVE-2026-96652) permet à n'importe qui, sans compte, de faire émettre des requêtes par le serveur. La deuxième (CVE-2026-96654) donne accès à des fonctions internes normalement réservées à la machine elle-même. La troisième (CVE-2026-96655) livre le jeton d'administration du propriétaire. La dernière (CVE-2026-96656) permet d'écrire un fichier dans le dossier des codecs en passant par les réglages de transcodage. Enchaînées, elles permettent à un attaquant distant, sans aucun identifiant, d'exécuter son propre code avec les droits du processus Plex. Selon Plex, cité par QNAP, des serveurs compromis ont servi à faire tourner des mineurs de cryptomonnaie et des logiciels de proxy.

Pourquoi QNAP conseille de repartir de zéro

Le critère est simple. Si Plex était joignable depuis Internet avec une version 1.43.2 ou antérieure, QNAP demande de considérer le NAS comme potentiellement compromis. C'est le cas si l'accès à distance de Plex était activé, si le port 32400 était redirigé vers le NAS ou si la box l'avait ouvert d'elle-même (UPnP). Le fabricant recommande alors de réinstaller proprement Plex Media Server, de chercher des indices de compromission et de changer les identifiants de Plex et du NAS. Pour obtenir l'aide de son support, il faut conserver le dossier des journaux de Plex (« Plex Logs ») avant de désinstaller le logiciel.

Que faire si Plex tourne sur votre NAS ou votre PC

Les conseils de Plex valent pour toutes les installations, pas seulement sur les NAS QNAP :

• Vérifiez la version dans Plex Web (Paramètres, puis Général) et passez en 1.43.3.10861 ou plus récent. Sur QNAP, la mise à jour se fait dans App Center, rubrique My Apps.
• Cherchez les traces signalées par Plex : des processus nommés myawesomeproxy, mylovelyminer ou x12345, des fichiers .so ou .dll inconnus dans le dossier Codecs, des connexions sortantes vers proxystream.st, des options de transcodage inconnues dans Preferences.xml, ou un processeur très sollicité sans lecture en cours.
• En cas de doute, repartez d'une installation propre, videz le dossier Codecs, déconnectez tous les appareils de votre compte Plex et changez son mot de passe. Plex conseille de considérer comme potentiellement exposé tout ce à quoi le compte de service de Plex avait accès, partages comme identifiants.
• Fermez la porte : désactivez l'accès à distance si vous n'en avez pas besoin, ne redirigez pas le port 32400 et, comme le conseille QNAP, passez par un VPN pour accéder à vos fichiers en déplacement.

Reste une inconnue de taille : le nombre de serveurs touchés. Ni Plex ni QNAP ne donnent de chiffre. Les propriétaires d'autres marques de NAS qui font tourner Plex ont tout intérêt à faire les mêmes vérifications.