QNAP publicó el 6 de noviembre el aviso de Plex2Shell y no es el tipo de nota que suele escribir un fabricante de almacenamiento: algunos clientes le han contado que su Plex Media Server en el NAS parece comprometido, y su equipo de soporte lo está revisando caso por caso. La causa es una cadena de cuatro vulnerabilidades en el servidor de medios que permite a un desconocido ejecutar comandos sin tener ninguna cuenta, y que lleva explotándose desde el 17 de octubre.
El calendario es lo que convierte el aviso en urgente. El investigador Zach Main comunicó los fallos a Plex el 27 de julio, la corrección llegó a principios de agosto y el detalle técnico completo se publicó el 16 de octubre. Al día siguiente empezaron los ataques. CISA metió las cuatro fichas en su catálogo de vulnerabilidades explotadas el 20 de octubre y dio a las agencias federales de Estados Unidos tres días para actualizar.
Lo que QNAP añade al aviso de Plex es la parte incómoda: el parche cierra la puerta, no limpia la casa. Si el servidor era accesible desde internet, la actualización no elimina lo que el atacante haya dejado dentro, y la recomendación del fabricante es reinstalar el sistema operativo del NAS desde cero y cambiar después todas las credenciales.
Una cadena de cuatro fallos en el servidor de medios
Plex2Shell son cuatro vulnerabilidades registradas como CVE-2026-96652, CVE-2026-96654, CVE-2026-96655 y CVE-2026-96656. Cada una por separado tiene alcance limitado, según el propio aviso de QNAP, y el problema aparece cuando se encadenan: acceso a funciones internas, filtración del token de administrador del servidor y escritura en la carpeta de códecs.
Esa combinación permite ejecutar código con los permisos del proceso de Plex. No hace falta autenticarse, y el servidor de medios suele correr con acceso a la biblioteca completa, a las carpetas compartidas y, en muchos montajes domésticos, a volúmenes donde también hay copias de seguridad y documentos.
La corrección está en Plex Media Server 1.43.3, en concreto desde la compilación 1.43.3.10861, disponible en el App Center de QNAP. El aviso de Plex no concreta el día exacto del parche y las fuentes que lo cubren se dividen entre el 3 y el 4 de agosto, una discrepancia menor que no cambia nada para quien tiene que actualizar hoy.
El fallo encontrado
El fabricante taiwanés confirma que ha recibido reportes de usuarios y que su equipo de respuesta a incidentes ha verificado que el fallo está solo en la aplicación de terceros. QTS y QuTS hero, los sistemas del NAS, no están afectados por estas cuatro vulnerabilidades, lo que acota el problema a quien instaló Plex desde el App Center o a mano.
Lo que no dice el aviso es cuántos equipos hay comprometidos. Tampoco lo dice Plex. El dato que sí se puede usar es el que dejó la explotación en la primera semana: según la propia Plex, los servidores alcanzados se han usado para minar criptomonedas y para montar proxies, dos formas de sacar rendimiento a una máquina ajena sin llamar demasiado la atención.
Ese patrón explica por qué el aviso llega ahora y no en octubre. Un servidor de medios comprometido para minar no se nota por una pantalla de rescate ni por un fichero cifrado: se nota por el ventilador del NAS a plena carga mientras no hay nada reproduciéndose.
¿Cómo saber si tu NAS está comprometido?
QNAP enumera tres señales que cualquier propietario puede comprobar sin herramientas forenses. La primera son ficheros que no reconoce en la carpeta de códecs de Plex, donde la cadena deja el código que ejecuta. La segunda son conexiones salientes hacia dominios ajenos al servicio, con `proxystream.st` como indicador documentado. La tercera es un uso de CPU alto y sostenido sin reproducción activa.
Hay una cuarta comprobación que el aviso sugiere y que casi nadie hace: revisar si el servidor era alcanzable desde fuera. El acceso remoto de Plex activado, el puerto 32400 redirigido en el router o abierto automáticamente por UPnP o por la configuración automática del router bastan para dejar el servidor en internet sin que el dueño lo recuerde.
Si el NAS estaba expuesto y corrió una versión vulnerable, QNAP es explícito en el procedimiento: conservar la carpeta de registros de Plex antes de desinstalar, reinstalar el sistema operativo, reinstalar Plex desde el App Center sin restaurar la carpeta de códecs antigua y, al final, cambiar contraseñas. El procedimiento para leer un CVE y saber si te afecta del propio sitio sirve para ordenar esa lista de comprobaciones antes de tocar nada.
El orden en que conviene hacerlo
Actualizar es el primer paso y el único que no admite espera. En un NAS con Plex instalado desde el App Center la ruta es corta: App Center, Mis aplicaciones, actualizar y confirmar después en Plex Web, en Ajustes y General, que la versión instalada es 1.43.3.10861 o superior.
El segundo paso es cerrar la puerta antes de investigar. Desactivar el acceso remoto de Plex y quitar la redirección del puerto 32400 deja el servidor fuera del alcance de internet mientras se revisa. Para quien necesita ver su biblioteca fuera de casa, la alternativa que recomienda el fabricante es una VPN, no un puerto abierto.
El tercero es la contraseña, y aquí hay un detalle que se pasa por alto: hay que cerrar la sesión de todos los dispositivos de la cuenta de Plex antes de cambiarla. Si el token de administrador quedó expuesto, cambiar la clave sin invalidar los tokens anteriores deja la puerta abierta con la cerradura nueva.
El cuarto paso es el más caro y el que más gente va a saltarse: reinstalar si hubo exposición. Un NAS guarda copias de seguridad, fotos familiares, documentos fiscales y a veces credenciales de otros servicios. La guía de ciberseguridad para pymes en nueve capas describe el mismo orden que aplica aquí: inventario, actualización, credenciales rotadas y copia de seguridad verificada, no solo hecha.
Un objetivo cómodo
Un NAS con Plex es la máquina más incómoda de explicar en un informe de incidentes: está encendida todo el día, tiene acceso a los datos que más valor sentimental y legal tienen en una casa y suele administrarla alguien que no es profesional de sistemas. La cadena de Plex no necesita nada exótico, solo una versión sin actualizar y un puerto alcanzable.
El mismo patrón se repitió esta semana con otro equipo de sobremesa expuesto: la cadena de Ivanti en Connect Secure dejó más de 5.000 aparatos al descubierto porque el parche no se aplicó en todos. La diferencia es que un cortafuegos corporativo tiene a alguien mirando el catálogo de CISA, y el NAS del salón no.
Queda una lección de calendario que vale para cualquier dispositivo doméstico. Entre la publicación de los detalles el 16 de octubre y el aviso de QNAP del 6 de noviembre pasaron tres semanas en las que el fallo era público, el exploit estaba disponible y la mayoría de los propietarios no tenía motivo para sospechar. El aviso llegó cuando los equipos comprometidos ya llevaban días minando en silencio, y ese silencio es exactamente lo que hay que aprender a escuchar.
