Plex2Shell : des NAS QNAP piratés, Synology en alerte
Un NAS installé tranquillement dans un coin du salon, quelques disques durs remplis de films et de séries, et Plex Media Server pour profiter de sa bibliothèque sur tous ses écrans. Voilà une installation plutôt classique chez les amateurs de multimédia. Mais pour certains utilisateurs, leur petit serveur personnel pourrait bien avoir accueilli des invités beaucoup moins sympathiques que prévu.
Le fabricant QNAP a publié, le 6 novembre 2026, un avertissement concernant Plex2Shell, un ensemble de quatre vulnérabilités affectant Plex Media Server. Et cette fois, il ne s'agit pas d'un simple risque théorique : des attaques sont déjà en cours et plusieurs propriétaires de NAS QNAP ont signalé des compromissions. Synology a également publié un bulletin de sécurité le 8 novembre.
Des pirates capables de prendre le contrôle de Plex
Plex2Shell regroupe quatre failles identifiées sous les références CVE-2026-96652, CVE-2026-96654, CVE-2026-96655 et CVE-2026-96656. Exploitées ensemble, elles permettent à un attaquant distant d'exécuter du code sur le serveur sans disposer d'un identifiant ou d'un mot de passe valide. Autrement dit, un serveur Plex vulnérable et accessible depuis Internet peut devenir une porte d'entrée particulièrement intéressante pour les pirates.
Les premières attaques se sont multipliées après la publication d'une méthode d'exploitation le 16 octobre. Selon Plex et QNAP, certains serveurs compromis ont notamment été utilisés pour installer des logiciels de minage de cryptomonnaies ou des services proxy, permettant de faire transiter du trafic Internet par la connexion des victimes. QNAP précise toutefois n'avoir constaté aucune perte de données parmi les cas pris en charge par son assistance.
Attention à une distinction importante : ce ne sont pas directement les systèmes QTS, QuTS hero ou DSM qui présentent ces quatre failles, mais bien l'application Plex Media Server. Les installations sur d'autres plateformes, notamment Windows, macOS ou Linux, peuvent également être concernées lorsqu'elles utilisent une version vulnérable.
QNAP et Synology publient leurs correctifs
La bonne nouvelle, c'est qu'un correctif existe déjà. Pour éliminer ces vulnérabilités, Plex Media Server doit être mis à jour vers la version 1.43.3.10861 ou une version ultérieure. Sur les NAS QNAP, la mise à jour s'effectue depuis l'App Center, dans la liste des applications installées.
Synology a également réagi en proposant des versions corrigées de Plex Media Server pour DSM 7.2.1, 7.2.2, 7.3 et 7.4. Le fabricant recommande de passer à la version 1.43.5.11079, avec un numéro de paquet différent selon la génération de DSM. Les utilisateurs peuvent consulter le bulletin officiel de Synology pour vérifier les versions concernées. Les installations plus anciennes doivent être examinées séparément, leur prise en charge n'étant pas précisée dans cet avis.
Une mise à jour ne suffit pas toujours
C'est probablement le point le plus important de cette affaire. Si votre serveur Plex était accessible depuis Internet avec une version vulnérable, notamment par le port 32400 ou la fonction d'accès distant, installer le correctif ne garantit pas que votre installation soit redevenue saine. Un pirate ayant déjà réussi à s'introduire pourrait avoir laissé des fichiers malveillants ou d'autres mécanismes permettant de conserver son accès.
Plex et QNAP recommandent alors de considérer le serveur comme potentiellement compromis, de rechercher toute activité suspecte, de procéder à une réinstallation propre si nécessaire et de renouveler les identifiants concernés. Les propriétaires d'un NAS QNAP trouveront les procédures détaillées dans le guide officiel de vérification et de récupération. Pensez également à déconnecter toutes les sessions de votre compte Plex avant de modifier son mot de passe.
Enfin, si vous n'utilisez jamais Plex en dehors de votre domicile, autant désactiver son accès distant et supprimer les redirections de ports inutiles. Un NAS n'a pas forcément besoin d'être visible depuis l'autre bout du monde pour rendre de précieux services. Et dans le doute, mieux vaut quelques minutes de vérification aujourd'hui qu'une bien mauvaise surprise demain.