--- title: "QNAPのNASでPlex経由の侵害報告、更新だけでは終わらない話。Plex2Shellの修正は1.43.3.10861以降" description: "QNAPは2026年11月6日、メディアサーバーアプリPlex Media Serverの脆弱性の束「Plex2Shell」について、一部利用者のNASで侵害されたとみられる報告を受けていると公表した。脆弱性はPlex側にあり、QNAPのOS自体は対象外。ただしインターネットから届く状態で旧版を使っていた場合、修正版へ更新しても攻撃者が残した仕掛けは消えないため、クリーンな再インストールや認証情報のリセットまで含めた確認が必要になる" url: https://itpostjp.com/security/qnap-plex2shell-plex-media-server-compromise-update-not-enough/ category: "セキュリティ" published_at: 2026-11-09T02:35:00Z updated_at: 2026-11-09T02:35:00Z author: "IT Post編集部" editor: "編集長 千田智也" publisher: "IT Post by Rice Studio Lab" language: ja-JP ai_generated: true ai_model: muse-wonder terms: ["エクスプロイト", "セキュリティインシデント", "リモートコード実行（RCE）"] --- # QNAPのNASでPlex経由の侵害報告、更新だけでは終わらない話。Plex2Shellの修正は1.43.3.10861以降 IT Post編集部 ＆ 編集長 千田智也 QNAPは2026年11月6日、メディアサーバーアプリPlex Media Serverの脆弱性の束「Plex2Shell」について、一部利用者のNASで侵害されたとみられる報告を受けていると公表した。脆弱性はPlex側にあり、QNAPのOS自体は対象外。ただしインターネットから届く状態で旧版を使っていた場合、修正版へ更新しても攻撃者が残した仕掛けは消えないため、クリーンな再インストールや認証情報のリセットまで含めた確認が必要になる ## 30秒で分かる結論 - QNAPは2026年11月6日、同社のNAS上で動くメディアサーバーアプリ「Plex Media Server」の脆弱性の束「Plex2Shell」について、一部の利用者から「NASが侵害されたようだ」という報告を受け、技術サポートが対応中だと公表しました。脆弱性そのものはPlex側にあり、QNAPのOS（QTS、QuTS hero）は対象ではない、と同社は明記しています。 - Plex2Shellは、Plex Media Server 1.43.2以前にある4件の脆弱性（CVE-2026-96652、CVE-2026-96654、CVE-2026-96655、CVE-2026-96656）の総称です。単体では限定的な欠陥が、つなげるとログインなしで遠隔から任意のコードを実行できる形になります。Plexによると、10月16日に検証コードが公開されて以降、未更新のインターネット公開サーバーへの大規模な攻撃が続いています。 - 修正はPlex Media Server 1.43.3.10861以降です。ただし、旧版のままインターネットから届く状態にあったNASは「侵害された可能性があるもの」として扱うのがQNAPの案内です。更新は入口を塞ぐだけで、既に入り込んだ攻撃者の仕掛けは消えません。 ## まず初めに 今回の主役はNASのOSではなく、その上で動く「映画館の上映係」である。係の名札に穴が開いていて、金庫番は無実、という構図だ。だが利用者から見れば、壊れるのは映画館ごとである。しかも厄介なのは、名札を新しいものに交換しても、既に館内へ入り込んだ客までは追い出せない、という点にある。パッチの話と、後片付けの話は、最初から別物だった。 ※個人の感想です ## 何が起きたのか Plex Media Serverは、自宅のNASなどに置いた動画や音楽のライブラリを、テレビやスマートフォンへ配信するためのアプリです。QNAPのNASでは、App Centerから入れて使う形が一般的です。 QNAPは2026年11月6日付のセキュリティ通知で、Plexが公表した4件の脆弱性について「実際に広く悪用されていることをPlexが確認している」と伝えました。あわせて、同社のNASでPlex Media Serverを使っている一部の利用者から、Plex2Shell経由で侵害されたように見える、という報告を受けていることを明らかにしています。技術サポートが該当する利用者を支援しており、現時点でデータの損失は確認されていない、と同社は述べています。侵害された台数や利用者数は公表されていません。 切り分けとして重要なのは、脆弱性の在り処です。QNAPの製品セキュリティ対応チーム（PSIRT）は、脆弱性はPlex Media Serverの中だけにあり、QTSやQuTS heroなど同社のOS自体は影響を受けないことを確認した、としています。「QNAPのNASが壊れた」という見出しの話に見えますが、正確には「NASの上で動かしていたアプリの欠陥」です。 ![Plex2Shellに関するQNAPの公表内容（2026年11月6日）](/images/articles/qnap-plex2shell-plex-media-server-compromise-update-not-enough-inline-1.webp) ## Plex2Shellの中身——4件つないで初めて牙になる 4件のCVEは、単体ではいずれも限定的なリスクだとQNAPは説明しています。問題は組み合わせです。内部機能への到達、サーバー所有者の管理者トークンの漏えい、PlexのCodecsフォルダへのファイル書き込みなどを段階的につなぐと、最終的に、ログインしていない遠隔の攻撃者が、Plex Media Serverのプロセスの権限で任意のコードを実行できるようになります。 Plex側の説明では、2026年10月16日に検証コード（PoC）が公開され、それ以降、更新されていないインターネット公開のサーバーが広く攻撃されています。侵害されたサーバーは、暗号資産のマイニングや、他人の通信を中継するプロキシソフトの実行に使われたとされています。複数の二次報道は、米CISA（サイバーセキュリティ・インフラセキュリティ庁）がこの4件を10月20日に「悪用が確認された脆弱性」の一覧（KEV）へ追加したとも伝えています。 侵害の兆候として二次報道が挙げるのは、Codecsフォルダ内の見覚えのないファイル、proxystream.stへの外向き通信、何も再生していないのに続く高いCPU使用率などです。これらは公式通知そのものの記載ではなく、確認の手がかりとして扱ってください。 ## QNAPが求める対応——更新と、その先 QNAPの案内は、大きく3段階です。 - **まず更新する**: App Centerの「My Apps」からPlex Media Serverを1.43.3以降へ更新し、Plex Webの「設定 > 一般」で版数が1.43.3.10861以降になっていることを確認します。後続の版を待たず、今ある修正版をすぐ当てるよう求めています。 - **インターネットに公開していた場合は、侵害前提で点検する**: 旧版（1.43.2以前）の期間に、Plex Remote Accessの有効化、ポート32400の転送、UPnPやルーターの自動設定でポートが開いていた、のいずれかに当てはまる場合、更新だけでは攻撃者が残したものは消えません。QNAPは公式FAQの手順に沿って、クリーンな再インストール、侵害の痕跡の確認、PlexとNASの認証情報のリセットを行うよう案内しています。 - **露出を減らす**: 遠隔アクセスが不要ならPlex Remote Accessを無効にし、ポート32400を転送しないこと。必要な場合はVPN経由にするよう勧めています。QTSやQuTS hero、その他のアプリも最新の状態に保つことが併せて求められています。 サポートへ相談する場合は、Plex Media Serverを削除する前にPlexのログフォルダを保全しておくよう、QNAPは案内しています。ログが無くなると、侵害があったかどうかの確認自体が難しくなるためです。 ## 「自分のNASは大丈夫か」の見分け方 確認の出発点は、次の3点です。 | 確認項目 | 安全側 | 要点検 | |---|---|---| | Plexの版数 | 1.43.3.10861以降へ更新済み | 1.43.2以前のまま、または旧版の期間が長い | | 外部からの到達性 | Remote Access無効、ポート転送なし | Remote Access有効、32400転送、UPnPで自動開放 | | 兆候 | 見覚えのないファイルや不審な負荷なし | Codecsフォルダの不審ファイル、再生していないのに高負荷 | 外部へ公開したことが一度も無いNASであれば、今回の攻撃経路の前提は大きく崩れます。逆に、旅行先から自宅のライブラリを見るためにRemote Accessを開けていたNASは、まさに想定された対象です。心当たりがある場合は、「更新したから終わり」ではなく、FAQの点検手順まで進めてください。 ## IT Postの見方 IT Postでは、この件の本質は「パッチを当てれば終わる脆弱性」と「パッチでは終わらない脆弱性」の違いが、家庭向け機器の利用者にも届く形で示された点だと考えます。QNAPの通知は、更新の案内と「侵害された前提で扱え」という案内を、最初から分けて書いている。ベンダーの文面としては率直な部類で、IT Postではこの書き分け自体が、事態の深刻さの物差しになると考えます。 もう1つは、責任の所在と被害の所在がずれる構図です。欠陥はアプリ側、被害はNAS全体、後片付けは利用者とNASベンダーのサポート、という三段構えになる。OSが無実でも、利用者のライブラリと家庭内ネットワークにとっては同じ事件です。「うちのOSの欠陥ではない」という切り分けは技術的には正しくても、利用者の実務はそこで終わらない。QNAPがFAQとサポート窓口まで用意したのは、その実務を引き受けた形だとIT Postでは見ます。 ## 今後どうなりそうか 今後の確認点は、侵害報告の規模感がQNAPから追加で示されるかどうか、Plex側の勧告や修正版の更新、そして同様の構成（他社NASやPC上でPlexを公開している環境）への注意喚起の広がりです。脆弱性自体はPlex Media Serverの話なので、QNAP以外の置き場所で動かしている場合も、版数と公開設定の確認は同じく必要です。 IT Postでは、新しい公式情報が確認できれば、本記事を更新します。 ## 情報源 「一次情報」は資料の出所を示す区分で、編集部による独立した実測や、すべての主張の実証を示すものではありません。確認の範囲や未確認の点は、本文の説明と併せてご覧ください。 - [QNAP Security Notice: Plex Media Server Vulnerabilities (Plex2Shell) – Update to 1.43.3.10861 or Later Immediately](https://www.qnap.com/en/security-news/2026/qnap-security-notice-plex-media-server-vulnerabilities-plex2shell-update-to-1-43-3-10861-or-later-immediately) — QNAP（一次情報） - [QNAP warns of ongoing Plex2Shell attacks on NAS devices](https://cyberinsider.com/qnap-plex2shell-attacks-nas-devices/) — CyberInsider ## この記事に出てくるIT用語 - [エクスプロイト](https://itpostjp.com/terms/exploit/): ソフトウェアの脆弱性を実際に悪用し、不正な操作を実行するために作られたプログラムやコードのことです。 - [セキュリティインシデント](https://itpostjp.com/terms/security-incident/): 不正アクセスや情報漏えい、マルウェア感染など、情報セキュリティ上の脅威となる事象全般を指す言葉です。 - [リモートコード実行（RCE）](https://itpostjp.com/terms/remote-code-execution/): 攻撃者が、遠く離れた場所から対象のコンピューターやサーバーで、任意のプログラムを実行できてしまう状態を指します。 --- この記事は、公開情報と出典URLの検証、文章作成の一部に生成AIを使用しています。内容の責任はIT Post by Rice Studio Labが負います。 出典表記: IT Post by Rice Studio Lab — https://itpostjp.com/security/qnap-plex2shell-plex-media-server-compromise-update-not-enough/