HD Doctor Logo

Plex2Shell no NAS QNAP: o que fazer antes de perder dados

Por Equipe Técnica HD Doctor

Resposta direta

Atualize o Plex Media Server do NAS para a versão 1.43.3.10861 ou posterior e tire a porta 32400 da internet. Se o Plex estava acessível de fora com a versão 1.43.2 ou anterior, a QNAP manda tratar o aparelho como possivelmente comprometido: atualizar não remove o que o invasor instalou. Antes de reinstalar o Plex, trocar senhas e revisar acessos, confirme que existe cópia dos dados fora do NAS. Não inicialize nem formate o NAS por causa disso: o problema está no aplicativo, não nos discos.

O que a QNAP informou em 06/11/2026

Em 06/11/2026, a QNAP publicou um aviso dizendo ter recebido relatos de usuários cujo Plex Media Server instalado no NAS parece ter sido comprometido. O aviso trata de quatro falhas do Plex Media Server 1.43.2 e anteriores, conhecidas em conjunto como Plex2Shell: CVE-2026-96652, CVE-2026-96654, CVE-2026-96655 e CVE-2026-96656. Encadeadas, elas permitem que um atacante remoto, sem autenticação, execute código com os privilégios do processo do Plex. A correção é o Plex Media Server 1.43.3.10861 ou posterior, disponível no App Center. Segundo a QNAP, servidores comprometidos foram usados para rodar mineradores de criptomoeda e software de proxy. A empresa afirma que as falhas existem só no Plex: QTS, QuTS hero e os demais sistemas da QNAP não são afetados em si. Fonte: https://www.qnap.com/en/security-news/2026/qnap-security-notice-plex-media-server-vulnerabilities-plex2shell-update-to-1-43-3-10861-or-later-immediately. O contexto: a prova de conceito foi divulgada em 16/10/2026, e em 20/10 a CISA incluiu as quatro falhas no catálogo KEV, que reúne vulnerabilidades com exploração conhecida. Fonte: https://www.cisa.gov/known-exploited-vulnerabilities-catalog. A falha está no Plex Media Server, não no sistema da QNAP; quem roda o Plex em outro NAS ou servidor também deve conferir a versão instalada. A QNAP considera o NAS possivelmente comprometido se, com o Plex 1.43.2 ou anterior, o acesso remoto do Plex estava ligado, a porta 32400 estava redirecionada no roteador, o UPnP estava ativo ou o Plex foi publicado pela configuração automática do myQNAPcloud, ou ainda se a atualização só foi feita depois de 16/10. Nesse caso, a FAQ da QNAP pede reinstalação limpa do Plex, checagem de sinais de invasão e troca das senhas do Plex e do NAS, incluindo as senhas e chaves usadas por tarefas de backup e conexões de nuvem. Ela também pede para tratar como potencialmente expostas as pastas compartilhadas que o Plex conseguia acessar. Fonte: https://www.qnap.com/en/how-to/faq/article/plex2shell-check-and-remediation-faq-for-qnap-nas-users. Por que isso pesa sobre os dados: a QNAP relata mineração e proxy, não ransomware nem exclusão de arquivos. Mas quem executa código com os privilégios do Plex pode, conforme as permissões, ler, alterar ou apagar o que o Plex alcança. E credenciais de backup expostas podem levar o invasor até a cópia que deveria salvar a empresa. É um cenário de risco para definir prioridades, não a constatação de perda de dados nos casos relatados. Se já houver arquivos cifrados ou apagados, volume em alerta ou disco com falha, a HD Doctor pode avaliar a recuperação a partir dos discos preservados. O resultado depende do estado do material. Essa avaliação não substitui a correção do Plex, a investigação do incidente nem o suporte da QNAP.

Três decisões que podem custar os dados do NAS

  1. 1.
    Só atualizar e dar o caso por encerrado. A QNAP é explícita: atualizar não remove nada que o invasor tenha instalado. Se o Plex estava acessível pela internet com a versão vulnerável, faça a reinstalação limpa, a checagem de sinais e a troca de credenciais descritas na FAQ.
  2. 2.
    Apagar só o programa suspeito. A FAQ da QNAP alerta que outros componentes ou mecanismos de persistência podem continuar no aparelho. Guarde a pasta Logs do Plex antes de removê-lo, para que o suporte possa confirmar o comprometimento, e siga o roteiro completo.
  3. 3.
    Inicializar ou formatar o NAS para limpar. O problema está no aplicativo Plex, não nos discos. Initialize, formatação ou reinstalação do sistema sem cópia validada podem apagar configurações e metadados necessários para reconstruir volumes. Decida qualquer passo além do roteiro da QNAP com o suporte do fabricante.

Cinco passos para corrigir o Plex sem arriscar os dados

Roteiro baseado no aviso e na FAQ da QNAP de 06/11/2026, para quem administra o NAS. Não rode exploits públicos no aparelho para testar se ele está vulnerável.

  1. 1

    Confira a versão do Plex e a exposição

    Em App Center > My Apps, veja a versão do Plex Media Server: 1.43.2 ou anterior é vulnerável. Anote se o acesso remoto do Plex estava ligado, se a porta 32400 estava redirecionada, se havia UPnP ou configuração automática do myQNAPcloud. Isso define se o NAS deve ser tratado como comprometido.

  2. 2

    Garanta uma cópia dos dados fora do NAS

    Antes de mexer em aplicativos e senhas, confirme que existe backup recente fora do aparelho e abra uma amostra dos arquivos. Snapshot ou cópia no mesmo NAS não basta. Se o volume estiver em alerta ou um disco falhar, resolva isso primeiro com quem administra o NAS.

  3. 3

    Atualize e, se exposto, reinstale o Plex do zero

    Atualize para 1.43.3.10861 ou posterior. Se o NAS estava exposto, copie a pasta Logs do Plex (em PlexData) para outro local, remova o Plex, não reaproveite a pasta Codecs antiga, revise o Preferences.xml e reinstale a versão corrigida pelo App Center.

  4. 4

    Procure os sinais de invasão listados pela QNAP

    Processos desconhecidos iniciados pelo Plex, como myawesomeproxy, mylovelyminer ou x12345; arquivos .so ou .dll estranhos em Codecs; conexões para proxystream.st; CPU alta sem nada sendo reproduzido; e detecção do Malware Remover, como o código MR2104. Abra chamado na QNAP com a versão, a exposição e os sinais encontrados.

  5. 5

    Troque credenciais e feche a porta

    No Plex, desconecte todos os dispositivos antes de trocar a senha. No NAS, troque as senhas de administrador e usuários, ative a verificação em duas etapas e renove senhas e chaves das tarefas de backup e nuvem. Desligue o acesso remoto do Plex, remova o redirecionamento da porta 32400 e o UPnP, e use VPN se precisar de acesso de fora.

Perguntas sobre Plex2Shell e NAS

Meu NAS QNAP foi invadido?

Não dá para saber só pela versão. A QNAP recebeu relatos de alguns usuários e manda tratar como possivelmente comprometido o NAS que tinha o Plex 1.43.2 ou anterior acessível pela internet. Se o Plex só era usado na rede interna, o risco é menor, mas a atualização continua obrigatória.

O ataque apaga ou criptografa arquivos?

Nos casos citados pela QNAP, os servidores foram usados para mineração de criptomoeda e proxy, e o aviso não fala em ransomware nem exclusão. Mas o código roda com os privilégios do Plex, e a QNAP pede para tratar como expostas as pastas que ele acessava. Por isso vale confirmar a cópia externa antes de qualquer outra ação.

Preciso reinstalar o QTS ou o QuTS hero?

A FAQ da QNAP descreve a reinstalação limpa do Plex, não do sistema, e afirma que QTS e QuTS hero não são afetados em si. Não inicialize nem reinstale o sistema por conta própria: se houver sinal de comprometimento além do Plex, decida o próximo passo com o suporte da QNAP e com cópia validada em mãos.

Quando vale pedir recuperação profissional?

Quando arquivos estiverem cifrados ou ausentes, o volume não montar ou um disco falhar, sem cópia validada que resolva. Preserve os discos, anote a posição de cada um nas baias e registre sintomas e tentativas. Evite Initialize, formatação e reparos repetidos.

Dados do NAS ficaram inacessíveis?

Preserve os discos, anote a posição de cada um e informe sintomas, datas e tentativas.

Próximas leituras