QNAPのNASでPlex経由の侵害報告、更新だけでは終わらない話。Plex2Shellの修正は1.43.3.10861以降

まず初めに

今回の主役はNASのOSではなく、その上で動く「映画館の上映係」である。係の名札に穴が開いていて、金庫番は無実、という構図だ。だが利用者から見れば、壊れるのは映画館ごとである。しかも厄介なのは、名札を新しいものに交換しても、既に館内へ入り込んだ客までは追い出せない、という点にある。パッチの話と、後片付けの話は、最初から別物だった。

※個人の感想です

何が起きたのか

Plex Media Serverは、自宅のNASなどに置いた動画や音楽のライブラリを、テレビやスマートフォンへ配信するためのアプリです。QNAPのNASでは、App Centerから入れて使う形が一般的です。

QNAPは2026年11月6日付のセキュリティ通知で、Plexが公表した4件の脆弱性について「実際に広く悪用されていることをPlexが確認している」と伝えました。あわせて、同社のNASでPlex Media Serverを使っている一部の利用者から、Plex2Shell経由で侵害されたように見える、という報告を受けていることを明らかにしています。技術サポートが該当する利用者を支援しており、現時点でデータの損失は確認されていない、と同社は述べています。侵害された台数や利用者数は公表されていません。

切り分けとして重要なのは、脆弱性の在り処です。QNAPの製品セキュリティ対応チーム（PSIRT）は、脆弱性はPlex Media Serverの中だけにあり、QTSやQuTS heroなど同社のOS自体は影響を受けないことを確認した、としています。「QNAPのNASが壊れた」という見出しの話に見えますが、正確には「NASの上で動かしていたアプリの欠陥」です。

Plex2Shellの中身——4件つないで初めて牙になる

4件のCVEは、単体ではいずれも限定的なリスクだとQNAPは説明しています。問題は組み合わせです。内部機能への到達、サーバー所有者の管理者トークンの漏えい、PlexのCodecsフォルダへのファイル書き込みなどを段階的につなぐと、最終的に、ログインしていない遠隔の攻撃者が、Plex Media Serverのプロセスの権限で任意のコードを実行できるようになります。

Plex側の説明では、2026年10月16日に検証コード（PoC）が公開され、それ以降、更新されていないインターネット公開のサーバーが広く攻撃されています。侵害されたサーバーは、暗号資産のマイニングや、他人の通信を中継するプロキシソフトの実行に使われたとされています。複数の二次報道は、米CISA（サイバーセキュリティ・インフラセキュリティ庁）がこの4件を10月20日に「悪用が確認された脆弱性」の一覧（KEV）へ追加したとも伝えています。

侵害の兆候として二次報道が挙げるのは、Codecsフォルダ内の見覚えのないファイル、proxystream.stへの外向き通信、何も再生していないのに続く高いCPU使用率などです。これらは公式通知そのものの記載ではなく、確認の手がかりとして扱ってください。

QNAPが求める対応——更新と、その先

QNAPの案内は、大きく3段階です。

• まず更新する: App Centerの「My Apps」からPlex Media Serverを1.43.3以降へ更新し、Plex Webの「設定 > 一般」で版数が1.43.3.10861以降になっていることを確認します。後続の版を待たず、今ある修正版をすぐ当てるよう求めています。
• インターネットに公開していた場合は、侵害前提で点検する: 旧版（1.43.2以前）の期間に、Plex Remote Accessの有効化、ポート32400の転送、UPnPやルーターの自動設定でポートが開いていた、のいずれかに当てはまる場合、更新だけでは攻撃者が残したものは消えません。QNAPは公式FAQの手順に沿って、クリーンな再インストール、侵害の痕跡の確認、PlexとNASの認証情報のリセットを行うよう案内しています。
• 露出を減らす: 遠隔アクセスが不要ならPlex Remote Accessを無効にし、ポート32400を転送しないこと。必要な場合はVPN経由にするよう勧めています。QTSやQuTS hero、その他のアプリも最新の状態に保つことが併せて求められています。

サポートへ相談する場合は、Plex Media Serverを削除する前にPlexのログフォルダを保全しておくよう、QNAPは案内しています。ログが無くなると、侵害があったかどうかの確認自体が難しくなるためです。

「自分のNASは大丈夫か」の見分け方

確認の出発点は、次の3点です。

確認項目	安全側	要点検
Plexの版数	1.43.3.10861以降へ更新済み	1.43.2以前のまま、または旧版の期間が長い
外部からの到達性	Remote Access無効、ポート転送なし	Remote Access有効、32400転送、UPnPで自動開放
兆候	見覚えのないファイルや不審な負荷なし	Codecsフォルダの不審ファイル、再生していないのに高負荷

外部へ公開したことが一度も無いNASであれば、今回の攻撃経路の前提は大きく崩れます。逆に、旅行先から自宅のライブラリを見るためにRemote Accessを開けていたNASは、まさに想定された対象です。心当たりがある場合は、「更新したから終わり」ではなく、FAQの点検手順まで進めてください。

IT Postの見方

IT Postでは、この件の本質は「パッチを当てれば終わる脆弱性」と「パッチでは終わらない脆弱性」の違いが、家庭向け機器の利用者にも届く形で示された点だと考えます。QNAPの通知は、更新の案内と「侵害された前提で扱え」という案内を、最初から分けて書いている。ベンダーの文面としては率直な部類で、IT Postではこの書き分け自体が、事態の深刻さの物差しになると考えます。

もう1つは、責任の所在と被害の所在がずれる構図です。欠陥はアプリ側、被害はNAS全体、後片付けは利用者とNASベンダーのサポート、という三段構えになる。OSが無実でも、利用者のライブラリと家庭内ネットワークにとっては同じ事件です。「うちのOSの欠陥ではない」という切り分けは技術的には正しくても、利用者の実務はそこで終わらない。QNAPがFAQとサポート窓口まで用意したのは、その実務を引き受けた形だとIT Postでは見ます。

今後どうなりそうか

今後の確認点は、侵害報告の規模感がQNAPから追加で示されるかどうか、Plex側の勧告や修正版の更新、そして同様の構成（他社NASやPC上でPlexを公開している環境）への注意喚起の広がりです。脆弱性自体はPlex Media Serverの話なので、QNAP以外の置き場所で動かしている場合も、版数と公開設定の確認は同じく必要です。

IT Postでは、新しい公式情報が確認できれば、本記事を更新します。