QNAP : des NAS compromis via la chaîne de failles Plex2Shell
6 novembre 2026 · Cybersécurité
QNAP signale que des attaquants exploitent activement la chaîne de vulnérabilités Plex2Shell (quatre CVE) pour compromettre des NAS exécutant Plex Media Server. La CISA avait inscrit ces failles à son catalogue KEV le 20 octobre 2026, exigeant une mise à jour sous trois jours pour les agences fédérales. QNAP demande aux utilisateurs exposés de considérer leurs appareils comme compromis et de réinstaller proprement leur système d'exploitation. La mise à jour vers Plex 1.43.3.10861 est recommandée, mais ne supprime pas les charges malveillantes déjà déposées.
Impact marchés
Marché des appliances NAS et des logiciels de streaming domestique (QNAP, Plex) ; potentiellement Synology et autres fabricants de NAS par ricochet réglementaire. Pression accrue sur les éditeurs de plugins tiers intégrés aux NAS.
Opportunités
Opportunité pour les acteurs de la sécurité réseau et de la détection d'intrusion (EDR, NDR) ciblant les PME et particuliers avec NAS exposés. Risque pour QNAP si le volume de compromissions s'avère élevé : atteinte à la réputation et pression réglementaire. Surveiller l'évolution du nombre de serveurs Plex exposés (plus de 36 000 cités dans les articles liés).