QNAP urge actualizar Plex: atacan NAS con la cadena Plex2Shell

Cuatro CVE ya en KEV de CISA. QNAP dice que solo afecta Plex Media Server, no QTS.

QNAP pidió actualizar Plex Media Server en el App Center tras reportes de compromisos en NAS vía la cadena Plex2Shell, informó BleepingComputer el 6 de noviembre de 2026.

Las fallas son CVE-2026-96652, 96654, 96655 y 96656. CISA las metió en KEV el 20 de octubre y dio tres días para subir a Plex 1.43.3.10861 o superior. La explotación creció tras el detalle técnico del 16 de octubre.

QNAP PSIRT afirma que las vulnerabilidades están solo en Plex, no en QTS ni QuTS hero. La versión actual en el App Center es 1.43.3.10861.

Fuente: BleepingComputer: «QNAP says hackers breaching NAS devices in Plex2Shell attacks», 6 de noviembre de 2026.