Plex2Shell : NAS QNAP piratés, que faire ?

Name: SOSPC82
Address: La Garenne-Colombes, Île-de-France, 92250, FR
Telephone: 07 69 36 92 60
Price range: €€

Baies de disques d'un serveur de stockage avec voyants verts, illustrant un NAS exposé aux failles Plex2Shell

Réponse courte : Plex2Shell est une chaîne de quatre failles du serveur multimédia Plex, activement exploitée. Le 6 novembre 2026, QNAP a confirmé que des NAS faisant tourner Plex 1.43.2 ou antérieur ont été compromis. Mettez Plex à jour en version 1.43.3.10861 ou plus, coupez l’accès distant, puis réinstallez proprement Plex si votre NAS était joignable depuis Internet.

La faille Plex2Shell sur NAS QNAP concerne beaucoup de foyers et de petites entreprises : le NAS sert à la fois de stockage de fichiers, de sauvegarde et de serveur vidéo. Quand l’application Plex est piratée, c’est tout le boîtier qui devient une porte d’entrée. Voici ce qui s’est passé, comment vérifier votre appareil et quoi faire, étape par étape.

Que s’est-il passé avec Plex2Shell et les NAS QNAP ?

Le 6 novembre 2026, QNAP a publié un avis de sécurité et une FAQ : des utilisateurs ont signalé que Plex Media Server, installé sur leur NAS, semblait compromis via les failles Plex2Shell. Le système du NAS lui-même (QTS, QuTS hero) n’est pas vulnérable. C’est l’application Plex qui l’est.

Le chemin jusqu’ici est rapide :

Fin juillet 2026 : un chercheur signale les failles à Plex.
Début août 2026 : Plex publie la version corrigée 1.43.3.10861.
Mi-octobre 2026 : les détails techniques et un code d’exploitation deviennent publics. Les premières attaques réelles suivent dans les jours qui viennent.
20 octobre 2026 : l’agence américaine CISA ajoute les quatre failles à son catalogue des vulnérabilités activement exploitées (KEV).
6 novembre 2026 : QNAP confirme des compromissions de NAS.

Autrement dit, le correctif existait depuis trois mois. Les appareils piratés sont ceux qui n’ont pas été mis à jour.

Comment fonctionne l’attaque Plex2Shell ?

Plex2Shell enchaîne quatre failles pour exécuter du code à distance, sans mot de passe, avec les droits du logiciel Plex. Prises une à une, les failles sont jugées moyennes à élevées. Enchaînées, le chercheur leur attribue une note de 9,8 sur 10.

Les quatre identifiants sont CVE-2026-96652, CVE-2026-96654, CVE-2026-96655 et CVE-2026-96656. En simplifiant : l’attaquant fait d’abord exécuter des requêtes par le serveur pour récupérer le jeton administrateur du propriétaire, puis utilise ce jeton pour déposer une bibliothèque piégée dans le dossier « Codecs » de Plex. Plex charge ensuite ce fichier, et l’attaquant prend la main.

Ce qui a été observé une fois dans la place :

des mineurs de cryptomonnaie, qui font tourner le processeur du NAS en permanence ;
des logiciels de proxy résidentiel, qui revendent votre connexion Internet à des tiers. Le trafic malveillant de quelqu’un d’autre sort alors avec votre adresse IP.

Aucun groupe d’attaquants n’a été désigné publiquement à ce jour.

Mon NAS est-il concerné ?

Votre NAS est concerné s’il fait tourner Plex Media Server en version 1.43.2 ou antérieure. S’il n’y a pas Plex dessus, aucune action n’est nécessaire pour cette faille.

QNAP demande de considérer le NAS comme potentiellement compromis si, pendant que Plex était en version vulnérable, l’un de ces points était vrai :

Situation	Risque
« Accès à distance » activé dans Plex	Élevé
Port 32400 redirigé sur la box ou le routeur	Élevé
UPnP actif avec l’accès distant Plex	Élevé
Configuration automatique du routeur via myQNAPcloud pour Plex	Élevé
Plex accessible uniquement sur le réseau local	Faible, mais mise à jour obligatoire

Les signes d’alerte cités par QNAP : des processus lancés par Plex nommés myawesomeproxy, mylovelyminer ou x12345, des fichiers .so ou .dll inconnus dans le dossier Codecs, des connexions sortantes vers le domaine proxystream.st, un processeur très chargé alors que rien n’est lu, ou une détection MR2104 par Malware Remover. QNAP précise qu’aucun de ces signes n’est une preuve à lui seul, et qu’en supprimer un ne garantit pas que l’attaquant soit parti.

Que faire maintenant, étape par étape ?

Mettez à jour Plex, puis, si le NAS était exposé à Internet, réinstallez Plex proprement et changez vos mots de passe. La mise à jour seule ne supprime pas ce qu’un attaquant a déjà installé.

Mettre à jour Plex : App Center, Mes applications, Plex Media Server, Mettre à jour. Vérifiez que la version affichée est 1.43.3 ou supérieure (build 1.43.3.10861 minimum).
Couper l’exposition : désactivez l’accès à distance dans les réglages de Plex, supprimez la redirection du port 32400 sur la box, désactivez l’UPnP et la configuration automatique myQNAPcloud pour Plex.
Conserver les journaux : copiez le dossier Logs de Plex avant toute suppression, utile si vous ouvrez un dossier auprès du support QNAP.
Réinstaller proprement (si le NAS était joignable depuis Internet) : supprimez Plex, ne réutilisez pas l’ancien dossier « Plex Media Server », videz au minimum le dossier Codecs, contrôlez le fichier Preferences.xml, réinstallez une version corrigée sans restaurer les anciens codecs.
Analyser le NAS : lancez Malware Remover et programmez des analyses régulières, activez QuFirewall.
Changer les identifiants : déconnectez tous les appareils du compte Plex, puis changez son mot de passe. Changez aussi les mots de passe administrateur et utilisateurs du NAS, activez la vérification en deux étapes, et renouvelez les clés utilisées par les sauvegardes et les connexions cloud.
Accéder à distance autrement : passez par un VPN (QVPN sur le NAS ou sur votre box) plutôt que d’ouvrir un port.

En cas de doute sérieux sur une compromission, faites appel à une réponse à incident cyber avant de toucher au NAS : effacer trop vite peut détruire les traces utiles.

Pourquoi un NAS piraté est-il si dangereux ?

Un NAS compromis menace directement vos données et vos sauvegardes, car il contient souvent les deux. Un mineur de cryptomonnaie use le matériel et fait grimper la consommation électrique. Un proxy résidentiel fait passer des activités illicites par votre connexion. Et un attaquant qui a la main sur le boîtier peut aller plus loin : lire les partages, voler des identifiants, ou chiffrer les fichiers.

C’est pour cela qu’une sauvegarde ne doit jamais reposer sur un seul appareil. La règle 3-2-1 (trois copies, deux supports, une hors site) protège contre ce scénario. Nous l’expliquons dans notre article sur la sauvegarde 3-2-1 et dans notre offre sauvegarde et plan de reprise.

L’avis de l’expert

Dans les grands comptes, un équipement exposé sur Internet est inventorié, et chaque application qu’il héberge suit un cycle de correctifs avec un délai maximal. Sur un NAS de PME ou de particulier, personne ne pense à Plex comme à un logiciel à patcher : on l’installe une fois pour regarder des films, puis on l’oublie. Plex2Shell montre le vrai problème : trois mois entre le correctif et les piratages, c’est largement le temps de mettre à jour, à condition que quelqu’un surveille.

Ma règle pour les PME : toute application tierce sur un équipement de stockage est traitée comme un serveur. Elle entre dans l’inventaire, reçoit ses mises à jour sous quelques jours quand une faille est exploitée, et n’est jamais exposée directement sur Internet. C’est exactement l’objet de la gestion des correctifs : ne plus dépendre de la mémoire de chacun. Pour comprendre pourquoi ces mises à jour comptent autant, lisez aussi pourquoi les mises à jour de sécurité sont importantes.

Et pour les PME / les particuliers du 92 ?

Dans les Hauts-de-Seine, de La Garenne-Colombes à Nanterre, Courbevoie ou Colombes, nous croisons souvent des NAS QNAP ou Synology installés pour stocker photos, films et documents. Beaucoup ont un port ouvert sur la box « pour que ça marche depuis l’extérieur ». C’est précisément la configuration ciblée ici.

Particuliers : nous vérifions la version de Plex, fermons les ports inutiles de la box et mettons en place un accès distant sûr, lors d’un dépannage informatique à domicile (70 €/h, déplacement inclus dans le 92) ou réglons la box Internet.
PME : nous auditons les équipements exposés, nettoyons un NAS compromis et intégrons ses applications au suivi des correctifs, dans le cadre de l’infogérance PME (à partir de 19,99 € HT par poste et par mois).

Questions fréquentes

Plex2Shell touche-t-il aussi les NAS Synology ou les PC ?

Oui, potentiellement. La faille est dans Plex Media Server, pas dans le NAS QNAP. Tout appareil qui fait tourner Plex en version 1.43.2 ou antérieure est concerné, quel que soit le matériel.

J’ai mis à jour Plex, suis-je tranquille ?

Pas forcément. La mise à jour bloque les nouvelles attaques mais ne supprime pas un logiciel malveillant déjà installé. Si votre Plex était accessible depuis Internet avant la mise à jour, suivez la réinstallation propre et changez vos mots de passe.

Quelle version de Plex est sûre ?

La version corrigée est Plex Media Server 1.43.3, build 1.43.3.10861 ou ultérieur. Les builds 1.43.3 plus anciens que 10861 restent vulnérables, vérifiez donc le numéro complet.

Comment savoir si mon NAS sert de proxy à des pirates ?

Cherchez des processus nommés myawesomeproxy, mylovelyminer ou x12345, des connexions vers proxystream.st et un processeur chargé sans raison. Lancez Malware Remover. En cas de doute, faites contrôler l’appareil par un professionnel.

Faut-il désactiver l’accès distant de Plex ?

Oui, c’est la recommandation de QNAP. Pour regarder vos vidéos hors de chez vous, passez par un VPN plutôt que d’ouvrir le port 32400 sur votre box.

En résumé

Plex2Shell est activement exploitée : QNAP a confirmé le 6 novembre 2026 des NAS compromis via Plex 1.43.2 ou antérieur.
Mettez Plex à jour (1.43.3.10861 minimum) et fermez tout accès direct depuis Internet.
Si votre NAS était exposé, réinstallez proprement Plex et changez tous vos identifiants.

Un doute sur votre NAS ou vos équipements exposés ? SOSPC82 vérifie, nettoie et sécurise, à domicile dans le 92 ou à distance partout en France. Découvrez notre service de réponse à incident cyber ou appelez le 07 69 36 92 60, 24 h/24 et 7 j/7. Devis gratuit sous 24 h.

Article rédigé par Kevin Aquino, Technical Lead patch management et fondateur de SOSPC82

Sources :

Plex2Shell : votre NAS QNAP avec Plex est-il piraté ?