QNAP 威联通发布警告：Plex Media Server 曝出被在野利用的“Plex2Shell”漏洞链，多品牌 NAS 面临入侵风险

一句话结论

QNAP 确认黑客正利用“Plex2Shell”漏洞链攻击安装了 Plex Media Server 的 NAS，用户需立即升级软件以防范数据泄露。

关键要点

• 漏洞“Plex2Shell”由四个安全漏洞组成，攻击者可无需账号密码即可远程执行恶意代码。
• QNAP 官方已收到用户设备疑似被攻陷的报告，并确认该漏洞影响所有安装受影响版本 Plex 的 NAS 设备。
• 利用代码自 10 月 16 日出现，随后针对暴露在互联网的 Plex 服务器攻击显著增加。
• Plex Media Server 1.43.2 及更早版本存在漏洞，升级至 1.43.3.10861 及以上版本可修复此问题。
• 部分受害服务器被攻击者利用运行加密货币挖矿程序及代理软件。

背景与事实

2024 年 11 月 6 日，知名存储网络设备厂商 QNAP 威联通发布了紧急安全公告。公告指出，一个名为“Plex2Shell”的漏洞链正被黑客积极利用，攻击目标为运行 Plex Media Server 的 NAS 设备。QNAP 表示，官方已经接到来自全球多个地区的用户报告，其设备疑似遭受入侵，目前 QNAP 正在协助相关用户进行调查。值得注意的是，尽管 QNAP 发布了此警告，但风险并不局限于 QNAP 品牌；任何安装了 Plex Media Server 的 NAS 设备（如 Synology 群晖、Asustor 等品牌），若未进行有效防护，均可能成为攻击目标。

Plex 是一款广泛流行的个人媒体服务器软件，其主要功能是将用户存储在 NAS 中的电影、电视剧、音乐等多媒体内容整理成结构化的媒体库，并支持通过电视、手机、电脑等终端设备进行远程播放。由于远程访问功能的便利性，大量 NAS 用户选择在局域网甚至公网上开启 Plex 服务。此次爆发的“Plex2Shell”并非单一的代码缺陷，而是由四个独立安全漏洞组合而成的攻击链。攻击者通过组合利用这些漏洞，可以在不获取 Plex 账号或密码的情况下，直接控制服务器执行任意恶意程序。这种攻击方式极大地降低了入侵门槛，使得暴露在互联网上的服务极易被自动化脚本批量扫描和利用。

根据公开的安全情报，Plex2Shell 的漏洞利用代码最早于 2024 年 10 月 16 日出现。随着利用代码的公开，针对暴露在互联网的 Plex 服务器的攻击流量开始迅速攀升。安全研究人员观察到，部分已遭入侵的服务器被攻击者植入恶意负载，主要用于运行加密货币挖矿程序以消耗计算资源，或被用作代理节点进行隐蔽通信。对于 NAS 用户而言，这种入侵不仅意味着硬件资源的被占用，更严重的是可能导致存储在内的个人照片、视频及重要文档面临被窃取、加密勒索或误删的风险。

影响分析

对于中文开发者及 NAS 从业者而言，此次事件凸显了第三方应用供应链安全在整体系统防御中的关键地位。首先，用户需要明确漏洞的根本原因不在于 QNAP 的 QTS 或 QuTS hero 操作系统内核，而在于第三方软件 Plex Media Server 本身。这意味着，即使操作系统是最新且安全的版本，若忽视第三方应用的更新，整体安全性依然脆弱。其次，对于企业用户和极客玩家，此事件提示在部署私有媒体中心时，不应默认将服务直接暴露于公网。分析认为，依赖单点远程访问功能而缺乏身份验证、IP 白名单或组网工具（如 Tailscale）保护的架构，在当前网络攻击环境下已不具备足够的抗风险能力。用户应立即核查自身设备的 Plex 版本，若低于 1.43.3.10861，必须执行升级操作，并重新评估网络暴露面。

适用边界

本文所述的防护建议主要针对通过互联网直接访问 Plex Media Server 的场景。若用户仅在本地局域网内使用 Plex，且未配置端口转发或 DDNS 直接映射公网 IP，受“Plex2Shell”在野利用的风险相对较低，但仍建议升级软件以防范横向移动风险。此外，本文结论不适用于未安装 Plex Media Server 的 NAS 设备，此类设备不受该特定漏洞链影响。

孤本观察

此次事件再次验证了“木桶效应”在家庭及小型企业网络环境中的主导作用：尽管 NAS 硬件与操作系统具备较高安全性，但高频使用的第三方软件如 Plex 成为最薄弱环节。判断认为，随着自动化攻击工具的普及，仅依靠默认配置已无法保障数据安全，强制实施网络隔离与最小化暴露原则将是未来 NAS 运维的标配要求。

来源：小众软件