Dans cet article Dans cet article
- Trois semaines entre la démonstration publique et l’alerte de QNAP
- Quatre failles banales qui ouvrent ensemble la machine
- Ce que la mise à jour corrige, et ce qu’elle laisse en place
- Exposé ou non, deux situations qui n’appellent pas le même ménage
- Le serveur maison, nouvelle cible des réseaux d’appareils piratés
- Moins d’ouverture, plus de contrôle pour la suite
Un NAS QNAP qui fait tourner Plex chez vous peut avoir été piraté sans que la mise à jour suffise à le nettoyer. Dans une note mise à jour le 6 novembre 2026, le constructeur taïwanais indique que des clients lui ont signalé des intrusions liées à Plex2Shell, et il demande aux propriétaires concernés de traiter leur appareil comme compromis, pas seulement comme obsolète.
Plex2Shell désigne une chaîne de quatre failles dans Plex Media Server, le logiciel qui transforme un ordinateur ou un NAS en bibliothèque de films et de séries accessible depuis la télé, le téléphone ou l’ordinateur. Prises une à une, ces failles semblent modestes. Enchaînées, elles permettent à un inconnu d’exécuter du code sur la machine sans mot de passe. Le NAS, ce boîtier de stockage branché sur la box, devient alors un ordinateur au service de quelqu’un d’autre.
Le cas dépasse QNAP : il touche tous ceux qui ont ouvert leur serveur multimédia sur Internet pour regarder leurs fichiers hors de chez eux. Si votre Plex était joignable de l’extérieur pendant ces trois semaines, que faut-il vraiment faire pour récupérer une machine saine ?
Trois semaines entre la démonstration publique et l’alerte de QNAP
Le calendrier explique pourquoi un simple correctif arrive trop tard pour une partie des serveurs. L’exploitation a commencé le lendemain de la publication de la démonstration technique, bien avant que la plupart des particuliers n’installent la nouvelle version :
- 16 octobre 2026 : un chercheur publie l’analyse complète de Plex2Shell et une preuve de concept qui fonctionne sur les versions antérieures à 1.43.3 ;
- 17 octobre 2026 : premières exploitations observées sur des serveurs exposés, selon l’analyse publiée par Aviatrix le 22 octobre ;
- 19 octobre 2026 : Plex confirme que des serveurs piratés servent à miner de la cryptomonnaie ou à relayer le trafic d’autres internautes ;
- 23 octobre 2026 : date limite fixée par l’agence américaine de cybersécurité CISA à ses administrations pour corriger ou isoler leurs serveurs Plex ;
- 6 novembre 2026 : QNAP met à jour sa procédure de vérification après des signalements de NAS compromis.
Entre la démonstration et l’alerte du fabricant, un serveur resté ouvert a eu vingt et un jours pour être visité. Selon Aviatrix, plus de 36 000 serveurs Plex étaient alors joignables depuis Internet, un chiffre qui donne l’échelle du terrain de chasse.
Ce délai change la nature du problème, car une porte refermée n’expulse pas celui qui est déjà entré.
Quatre failles banales qui ouvrent ensemble la machine
Les quatre vulnérabilités portent les numéros CVE-2026-96652, 96654, 96655 et 96656. Leurs scores de gravité restent moyens pris séparément, entre 4,3 et 7,2 sur 10, mais la chaîne complète atteint 9,8 sur 10, presque le maximum. Deux failles permettent de forcer le serveur à interroger des adresses internes, une autre d’injecter une URL, la dernière d’écrire des fichiers où bon semble à l’attaquant.
QNAP précise que ses systèmes QTS et QuTS hero ne sont pas fautifs en eux-mêmes : la brèche se trouve dans l’application, qui tourne avec ses propres droits. Ce détail compte, car tout ce que Plex peut lire ou modifier sur le NAS devient accessible à l’intrus, vos dossiers de films comme les fichiers de configuration du serveur. Toutes les versions jusqu’à la 1.43.2 sont touchées, la correction arrivant avec le build 1.43.3.10861.
Plex a reconnu que les machines détournées servaient surtout à deux usages discrets, le minage et le relais de trafic. Ces usages ne cassent rien de visible, ce qui explique pourquoi des propriétaires ne remarquent rien pendant des semaines, et pourquoi le constructeur insiste sur une vérification active.
Ce que la mise à jour corrige, et ce qu’elle laisse en place
La version 1.43.3 bouche les quatre failles. Elle ne supprime en revanche ni le programme de minage installé, ni les fichiers déposés dans les dossiers de Plex. QNAP l’écrit sans détour dans sa procédure :
La mise à jour seule ne suffit pas. Considérez le NAS comme potentiellement compromis.
QNAP, dans sa FAQ de vérification et de remédiation Plex2Shell destinée aux utilisateurs de NAS, mise à jour le 6 novembre 2026
Le constructeur va plus loin sur le compte Plex lui-même. Changer le mot de passe ne règle rien si l’attaquant a récupéré le jeton administrateur qui garde la session ouverte. Il faut d’abord déconnecter tous les appareils depuis les réglages du compte, puis changer le mot de passe, faute de quoi l’intrus reste connecté avec un sésame toujours valide.
Plex donne trois signes à surveiller : des programmes inconnus lancés par le serveur, des fichiers inhabituels dans le dossier Codecs, et un processeur qui tourne à plein alors qu’aucune vidéo n’est lue. Le dernier se repère dans le moniteur de ressources du NAS, sans compétence particulière.
Exposé ou non, deux situations qui n’appellent pas le même ménage
Tout se joue sur une question simple : votre serveur était-il joignable depuis Internet avec une version vulnérable ? La réponse décide du temps à y consacrer, de dix minutes à une soirée entière. Voici comment trier, d’après les recommandations de QNAP et de Plex :
- Plex utilisé uniquement à la maison, sans accès distant ni redirection de port sur la box : installer la 1.43.3 depuis l’App Center suffit, selon QNAP ;
- accès distant activé, mise à jour faite avant le 16 octobre : le risque reste faible, une vérification du dossier Codecs et de la charge processeur rassure à peu de frais ;
- accès distant activé et version 1.43.2 ou antérieure après le 16 octobre : réinstallation propre de Plex, contrôle des traces d’intrusion, déconnexion de tous les appareils puis nouveau mot de passe ;
- dans ce dernier cas, renouveler aussi les mots de passe du NAS, activer la vérification en deux étapes et changer les identifiants des sauvegardes et des services cloud reliés au boîtier.
La réinstallation demande une précaution : sauvegarder le dossier Logs avant de supprimer Plex, pour que le support de QNAP puisse examiner l’installation. L’ancien dossier Codecs ne se réutilise pas sans vérification, puisque c’est précisément là que se cachent les fichiers suspects.
La procédure détaillée figure dans la FAQ de remédiation publiée par QNAP, en anglais, avec les chemins exacts des dossiers à contrôler.
Le serveur maison, nouvelle cible des réseaux d’appareils piratés
Plex2Shell s’inscrit dans une série qui vise les appareils posés dans le salon plutôt que les ordinateurs. Début novembre, Google démantelait déjà un réseau de 1,3 million de box Android TV piégées dès l’usine, utilisées elles aussi pour relayer du trafic. Les machines allumées en permanence et rarement surveillées sont devenues la matière première de ces réseaux.
La logique est la même que pour les extensions Chrome qui détournaient les recherches de 13,4 millions de navigateurs : l’attaquant ne vole pas forcément vos données, il emprunte votre matériel, votre électricité et votre connexion. La facture se paie en bande passante, en usure du NAS et en adresse IP qui finit sur des listes noires.
Ce glissement pose une question à tous les possesseurs de serveur domestique : un équipement installé une fois puis oublié n’a plus rien d’inoffensif dès qu’il parle à Internet.
Moins d’ouverture, plus de contrôle pour la suite
QNAP recommande de désactiver l’accès distant quand il ne sert pas, et de passer par un VPN sinon, en supprimant les redirections de port créées sur la box. Un VPN domestique, comme ceux intégrés à de nombreux routeurs ou à l’application QVPN du NAS, laisse regarder ses films à distance sans exposer le serveur au premier scanner venu.
Reste une habitude que Plex2Shell rend coûteuse : laisser les mises à jour s’installer quand on y pense. Avec une exploitation démarrée le lendemain de la démonstration, la fenêtre entre correctif et attaque se compte désormais en heures, et l’activation des mises à jour automatiques de l’App Center change davantage la sécurité d’un NAS que n’importe quel antivirus ajouté après coup.
