Avec Plex, un NAS ne sert pas seulement à ranger des fichiers : il devient une bibliothèque de films et de séries, accessible depuis la télévision du salon comme depuis un téléphone en déplacement. C’est cette installation que QNAP invite aujourd’hui ses utilisateurs à contrôler. Le fabricant a reçu des signalements de possibles intrusions liées à Plex2Shell, un ensemble de failles dans le serveur multimédia. Un correctif existe, mais sur les machines déjà compromises, l’installer ne suffit pas à éliminer les logiciels déposés par les attaquants.
Des bibliothèques multimédias détournées pour miner des cryptomonnaies
Les attaques ne se limitent pas à une démonstration de chercheurs. Le 19 octobre, Plex a confirmé que des serveurs accessibles depuis Internet avaient été détournés pour exécuter des logiciels de minage de cryptomonnaies ou servir de relais au trafic d’autres internautes. Une démonstration publique de Plex2Shell avait été publiée trois jours auparavant, le 16 octobre.
Dans son avis du 6 novembre, QNAP indique à son tour que des clients lui ont signalé une compromission présumée de leur installation Plex. Son assistance les accompagne, mais le constructeur ne publie ni nombre de NAS concernés ni bilan des données éventuellement consultées.
Le point commun des installations visées est leur accessibilité depuis Internet. L’accès distant à Plex permet de retrouver sa collection hors du domicile, mais rend aussi le serveur joignable de l’extérieur. Cette ouverture peut passer par une redirection de port configurée sur le routeur ou par un mécanisme automatique.
Plex2Shell touche Plex Media Server 1.43.2 et les versions antérieures. Les quatre failles permettent, lorsqu’elles sont combinées, d’exécuter du code à distance avec les droits du processus Plex, sans avoir à s’authentifier. QNAP précise que les vulnérabilités se trouvent dans l’application, et non dans ses systèmes d’exploitation QTS ou QuTS hero.
Ces attaques sont distinctes du piratage des comptes Plex annoncé en septembre 2025 : il s’agit ici d’intrusions dans les serveurs installés chez les utilisateurs.
La mise à jour ne suffit pas toujours
La première mesure demandée par QNAP est d’installer Plex Media Server 1.43.3.10861 ou une version ultérieure. Le correctif est disponible dans l’App Center. Après l’installation, le numéro complet peut être vérifié dans les paramètres généraux de Plex Web. Le constructeur demande de ne pas attendre une prochaine version pour agir.
La suite dépend de la manière dont le serveur était utilisé. Pour une installation qui n’a jamais été accessible depuis Internet, QNAP indique que la mise à jour suffit. En revanche, un serveur exposé alors qu’il utilisait une version vulnérable doit être considéré comme potentiellement compromis. Le correctif ferme la voie d’entrée, sans supprimer ce qu’un attaquant aurait déjà installé.
Dans ce second cas, la procédure officielle de QNAP prévoit une réinstallation propre de Plex, une recherche de traces d’intrusion et le renouvellement des identifiants. Elle demande notamment de ne pas réutiliser l’ancien dossier de codecs sans vérification. Les réglages du transcodeur, qui adapte les vidéos aux appareils de lecture, doivent également être examinés.
Plex cite plusieurs signes à rechercher : des programmes inconnus lancés par le serveur, des fichiers inhabituels dans son dossier Codecs ou une activité élevée du processeur alors qu’aucune vidéo n’est en cours de lecture.
Déconnecter les appareils avant de changer le mot de passe
La remise en état concerne aussi les accès au serveur. QNAP demande de déconnecter tous les appareils depuis les paramètres du compte Plex, puis de changer le mot de passe. Le constructeur précise qu’un simple changement de mot de passe ne suffit pas, car un jeton administrateur permettant d’accéder au serveur a pu être exposé.
Les partages accessibles à Plex et les identifiants enregistrés sur le NAS doivent eux aussi être considérés comme potentiellement exposés. QNAP recommande de renouveler les mots de passe des comptes du NAS ainsi que les accès utilisés par d’autres services, notamment les sauvegardes et les connexions au cloud.
Pour les connexions futures, le fabricant conseille de désactiver l’accès distant lorsqu’il n’est pas nécessaire et de privilégier un VPN dans le cas contraire. Cela implique également de supprimer les ouvertures de port correspondantes sur le routeur.
Enfin, les utilisateurs qui souhaitent faire examiner leur installation par l’assistance QNAP doivent conserver une copie du dossier Logs avant de supprimer Plex. Ces journaux pourront servir à rechercher les traces d’une intrusion.
