QNAP cảnh báo NAS bị xâm nhập qua chuỗi lỗ hổng Plex2Shell trong Plex Media Server

QNAP cảnh báo tin tặc đang khai thác chuỗi lỗ hổng "Plex2Shell" trong ứng dụng Plex Media Server cài trên thiết bị lưu trữ mạng (NAS) của hãng, theo BleepingComputer ngày 6/11/2026. Hãng đã nhận nhiều báo cáo nghi bị xâm nhập và khuyến cáo người dùng cập nhật Plex Media Server ngay.

Chuỗi bốn lỗ hổng và mốc thời gian

Plex2Shell gồm bốn lỗ hổng: CVE-2026-96652, CVE-2026-96654, CVE-2026-96655 và CVE-2026-96656. Nhà nghiên cứu Zach Main báo cáo cho Plex từ ngày 27/7. Việc khai thác bắt đầu ngay sau khi chi tiết kỹ thuật đầy đủ được công bố ngày 16/10. Ngày 20/10/2026, CISA đưa cả bốn lỗi vào danh mục lỗ hổng đã bị khai thác (KEV) và yêu cầu cơ quan liên bang Mỹ nâng cấp lên Plex 1.43.3.10861 hoặc mới hơn trong vòng ba ngày.

Đội ứng cứu sự cố của QNAP khẳng định lỗi nằm trong Plex Media Server, còn các hệ điều hành QTS, QuTS hero của hãng không bị ảnh hưởng. Tuy nhiên, vì Plex chạy ngay trên NAS, kẻ tấn công chiếm được Plex là đã đặt chân vào thiết bị chứa dữ liệu. App Center của QNAP hiện đã có bản Plex Media Server 1.43.3.10861.

Cập nhật thôi là chưa đủ

Điểm đáng chú ý trong cảnh báo của QNAP: "updating now will not remove any payloads the attackers have already installed on the device", tức cập nhật lúc này không gỡ được mã độc kẻ tấn công đã cài. Hãng khuyến nghị:

• Nếu Plex Media Server có lỗ hổng từng mở ra Internet, coi NAS và toàn bộ dữ liệu trên đó là đã bị xâm phạm.
• Kiểm tra dấu hiệu xâm nhập theo bản tin bảo mật của QNAP.
• Cài lại sạch hệ điều hành QTS hoặc QuTS hero.
• Đổi mật khẩu Plex và tài khoản NAS.
• Không cần truy cập từ xa thì tắt tính năng liên quan và ngừng chuyển tiếp cổng 32400; cần truy cập từ xa thì dùng VPN.

QNAP đã đăng hướng dẫn khắc phục từng bước và sẽ phân tích log của các thiết bị nghi bị xâm nhập gửi qua cổng hỗ trợ kỹ thuật.

Góc nhìn NTEK

Tại Việt Nam, NAS rất phổ biến ở doanh nghiệp nhỏ, văn phòng và cả các đài, đơn vị sản xuất nội dung để lưu trữ dữ liệu, video. Rủi ro thường không đến từ hệ điều hành NAS mà từ ứng dụng bên thứ ba cài thêm và cổng mở thẳng ra Internet. Bài học rút ra: không công bố trực tiếp dịch vụ NAS ra ngoài, đặt truy cập từ xa sau VPN, gỡ ứng dụng không dùng, và luôn có bản sao lưu tách biệt, không ghi đè được, để khôi phục khi phải cài lại sạch thiết bị.

Nguồn: BleepingComputer