QNAP เตือนช่องโหว่ Plex2Shell พบการโจมตีผู้ใช้ NAS ทั่วโลก

QNAP ผู้เชี่ยวชาญด้านโซลูชันการจัดเก็บข้อมูลและเครือข่ายจากไต้หวัน ออกประกาศเตือนเร่งด่วนหลังพบผู้ไม่หวังดีเริ่มใช้งาน Plex2Shell เพื่อเจาะเข้าสู่แอปพลิเคชัน Plex Media Server บนอุปกรณ์ QNAP NAS ของผู้ใช้ในหลายพื้นที่

Plex2Shell คือชุดช่องโหว่ต่อเนื่องจำนวน 4 รายการ ได้แก่ CVE-2026-96652, CVE-2026-96654, CVE-2026-96655 และ CVE-2026-96656 ใน Plex Media Server ซึ่งทางผู้พัฒนาได้ออกแพตช์แก้ไขไปแล้วในช่วงฤดูร้อนที่ผ่านมา แต่การโจมตีในวงกว้างเพิ่งเริ่มขึ้นเมื่อช่วงกลางเดือนตุลาคม หลังจากมีการเผยแพร่รายละเอียดทางเทคนิคและรหัส Proof-of-Concept (PoC) ออกสู่สาธารณะ

ความน่ากลัวของการโจมตี Plex2Shell คือผู้โจมตีไม่จำเป็นต้องมีข้อมูลประจำตัวหรือรหัสผ่านที่ถูกต้อง ก็สามารถรันรหัสที่เป็นอันตราย (arbitrary code) บนเซิร์ฟเวอร์ที่เชื่อมต่อกับอินเทอร์เน็ตได้ โดยจะได้สิทธิ์ในการเข้าถึงระดับเดียวกับบริการของ Plex ซึ่งแอปพลิเคชันนี้ได้รับความนิยมอย่างมากในกลุ่มผู้ใช้ QNAP NAS ผ่านทางการติดตั้งใน App Center

QNAP ระบุคำเตือน เมื่อวันศุกร์ที่ผ่านมาว่าได้รับรายงานจากผู้ใช้บางส่วนว่าระบบถูกบุกรุกผ่านช่องโหว่ดังกล่าวแล้ว อย่างไรก็ตาม ทีมสนับสนุนทางเทคนิคของ QNAP ที่กำลังให้ความช่วยเหลือยืนยันว่ายังไม่มีรายงานข้อมูลสูญหายเกิดขึ้น

ทีมตอบสนองเหตุการณ์ความมั่นคงปลอดภัยผลิตภัณฑ์ของ QNAP (QNAP PSIRT) ยืนยันว่าช่องโหว่นี้จำกัดอยู่เพียงแค่ในตัวแอปพลิเคชัน Plex Media Server เท่านั้น ส่วนตัวระบบปฏิบัติการหลักอย่าง QTS, QuTS hero และระบบปฏิบัติการอื่นๆ ของ QNAP ไม่ได้รับผลกระทบโดยตรงจากช่องโหว่นี้

สำหรับแนวทางแก้ไข ผู้ใช้ QNAP NAS ควรอัปเดต Plex Media Server เป็นเวอร์ชัน 1.43.3 หรือใหม่กว่าทันที โดย QNAP ย้ำว่าอุปกรณ์ที่เปิดให้เข้าถึงได้จากอินเทอร์เน็ตควรถูกสันนิษฐานไว้ก่อนว่าอาจถูกบุกรุกแล้ว ผู้ใช้จึงควรติดตั้งแอปพลิเคชันใหม่และรีเซ็ตพาสเวิร์ดของทั้งบัญชี Plex และตัวเครื่อง NAS ในทันที

นอกจากนี้ หากไม่จำเป็นต้องใช้งานจากระยะไกล แนะนำให้ปิดระบบ Plex Remote Access และยกเลิกการทำ Port Forwarding ที่พอร์ต 32400 โดยเปลี่ยนไปใช้ VPN เพื่อความปลอดภัยแทน พร้อมทั้งตรวจสอบให้แน่ใจว่าระบบปฏิบัติการและแอปพลิเคชันทั้งหมดเป็นเวอร์ชันล่าสุด ซึ่งผู้ใช้สามารถศึกษาขั้นตอนการตรวจสอบโดยละเอียดได้จาก คู่มือการแก้ไข ของทางบริษัท