بهره‌برداری از زنجیره آسیب‌پذیری Plex2Shell در دستگاه‌های QNAP NAS
Plex2Shell Exploited Against QNAP NAS Users
شرکت QNAP هشدار داده است که مهاجمان سایبری با بهره‌برداری از زنجیره آسیب‌پذیری Plex2Shell در نرم‌افزار Plex Media Server، دستگاه‌های ذخیره‌سازی تحت شبکه (NAS) را هدف قرار می‌دهند. این حملات که از اواسط اکتبر و پس از انتشار جزئیات فنی آغاز شده، امکان اجرای کد از راه دور را بدون نیاز به احراز هویت فراهم می‌کند.
جزئیات فنی و ماهیت حمله
زنجیره آسیب‌پذیری Plex2Shell شامل چهار نقص امنیتی با شناسه‌های CVE-2026-96652، CVE-2026-96654، CVE-2026-96655 و CVE-2026-96656 است. این آسیب‌پذیری‌ها در نرم‌افزار Plex Media Server وجود دارند که به عنوان یک برنامه شخص‌ثالث در App Center دستگاه‌های QNAP ارائه می‌شود.
مهاجمان با استفاده از این زنجیره می‌توانند بدون نیاز به اعتبارنامه معتبر، کدهای دلخواه خود را با سطح دسترسی سرویس Plex بر روی سرورهای در معرض خطر اجرا کنند. تیم واکنش به حوادث امنیتی QNAP (PSIRT) تأکید کرده است که سیستم‌عامل‌های QTS و QuTS hero خود دچار این نقص نیستند و مشکل صرفاً محدود به نرم‌افزار Plex است.
پیامدها و اقدامات اصلاحی
گزارش‌های دریافتی حاکی از نفوذ به برخی دستگاه‌های NAS از طریق این آسیب‌پذیری‌هاست، هرچند QNAP تأیید کرده که تاکنون هیچ‌گونه نشت یا از دست رفتن داده‌ای رخ نداده است. به کاربران توصیه شده است که در صورت دسترسی دستگاه به اینترنت، آن را به عنوان سیستمِ در معرض خطر (Compromised) در نظر بگیرند.
برای مقابله با این تهدید، کاربران باید نرم‌افزار Plex Media Server را به نسخه 1.43.3 یا بالاتر ارتقا دهند. همچنین توصیه شده است که در صورت عدم نیاز به دسترسی از راه دور، قابلیت Plex Remote Access غیرفعال شده و از باز کردن پورت 32400 در فایروال خودداری شود.
نکته‌های کلیدی
- شناسه‌های آسیب‌پذیری: CVE-2026-96652, CVE-2026-96654, CVE-2026-96655, CVE-2026-96656
- امکان اجرای کد از راه دور بدون نیاز به نام کاربری و رمز عبور
- عدم تأثیرگذاری بر سیستم‌عامل‌های QTS و QuTS hero
- آغاز حملات گسترده از اواسط اکتبر پس از انتشار PoC
چه باید کرد
- به‌روزرسانی فوری Plex Media Server به نسخه 1.43.3 یا بالاتر
- تغییر فوری رمز عبور حساب‌های Plex و NAS
- غیرفعال کردن قابلیت Plex Remote Access و بستن پورت 32400 در صورت عدم نیاز
- استفاده از VPN برای دسترسی از راه دور به جای باز کردن پورت‌ها
- نصب مجدد Plex در دستگاه‌هایی که از طریق اینترنت در دسترس بوده‌اند
- اطمینان از به‌روز بودن سیستم‌عامل QTS یا QuTS hero و تمامی برنامه‌های نصب شده