Plex2Shell: QNAP avisa de Plex posiblemente comprometido en NAS y pide actualizar a 1.43.3

El 6 de noviembre de 2026, QNAP publicó un aviso de seguridad sobre Plex2Shell, un conjunto de cuatro fallas de Plex Media Server, la app que se instala en el NAS para reproducir las películas, series y música guardadas ahí. La empresa dice que recibió reportes de algunos usuarios cuyo Plex, instalado en un NAS QNAP, parece haber sido comprometido por estas fallas, y que su soporte técnico los está asistiendo. Plex, por su lado, ya había avisado que las fallas se están explotando de forma activa y amplia.

Si tenés Plex en un NAS QNAP, esto es para hoy: entrá a App Center > My Apps, actualizá Plex Media Server a la 1.43.3 o posterior y confirmá en Plex Web, en Settings > General, que la versión sea 1.43.3.10861 o posterior. QNAP pide no esperar a la próxima versión de Plex.

Las fallas son de Plex, no del sistema del NAS: según el equipo de seguridad de QNAP, QTS, QuTS hero y los demás sistemas operativos de QNAP no están afectados. Y si tu Plex corre en otro lado (una PC, otro NAS), Plex da una regla parecida para cualquier servidor: actualizá a la 1.43.3.10861 o posterior y, si es anterior a esa versión y se puede alcanzar desde internet, asumí que puede estar comprometido.

Qué es Plex2Shell

Son cuatro fallas de Plex Media Server 1.43.2 y anteriores. Según QNAP, cada una sola tiene un riesgo limitado, pero encadenadas dejan que un atacante remoto, sin iniciar sesión, ejecute código con los permisos del proceso de Plex Media Server.

Según Plex, el 16 de octubre se publicó una prueba de concepto y desde entonces hubo ataques amplios contra servidores expuestos a internet que no se habían actualizado. Los servidores comprometidos se usaron para correr mineros de criptomonedas y software de proxy, que hace pasar el tráfico de otras personas por la conexión a internet de la víctima. O sea: tu NAS laburando para un desconocido, y vos pagando la luz y el internet.

La CISA, la agencia de ciberseguridad de Estados Unidos, sumó estas fallas a su catálogo de vulnerabilidades explotadas el 20 de octubre de 2026.

Si Plex se veía desde internet, actualizar no alcanza

QNAP es clara en este punto: si mientras tenías la 1.43.2 o una anterior tu Plex se podía alcanzar desde internet, hay que tratar el NAS como posiblemente comprometido. Según QNAP, eso pasa, por ejemplo, si tenías activado Remote Access de Plex, si redirigiste el puerto 32400 en el router o si ese puerto se abrió automáticamente por UPnP o por la configuración automática del router. Son ejemplos: lo que cuenta es si se podía llegar a tu Plex desde internet. En ese caso, actualizar no borra lo que un atacante haya podido instalar.

Para ese caso, QNAP pide tres cosas y remite a su guía de revisión y remediación con el paso a paso:

• Hacer una reinstalación limpia.
• Buscar los indicios de compromiso.
• Cambiar las credenciales de Plex y del NAS.

Y si creés que te pasó y querés que QNAP lo confirme, antes de desinstalar Plex Media Server guardá la carpeta Plex Logs y abrí un caso con el soporte técnico de QNAP. QNAP dice que sigue en contacto con Plex y que va a actualizar su aviso cuando haya información nueva.

Qué mirar, según Plex

Plex publicó estos indicios de compromiso:

• Procesos iniciados por Plex Media Server que no reconocés, sobre todo con nombres como myawesomeproxy, mylovelyminer o x12345.
• Archivos .so o .dll desconocidos en la carpeta Codecs de Plex.
• Conexiones salientes a proxystream.st, o un uso alto y sostenido del procesador cuando no se está reproduciendo nada.

Si encontrás alguno, o si no podés descartar un compromiso, Plex recomienda reconstruir el servidor desde una instalación limpia en lugar de reutilizar la carpeta de datos vieja de Plex; como mínimo, borrar todo lo que haya en la carpeta Codecs y revisar en Preferences.xml las opciones del transcodificador que vos no configuraste. También pide cerrar la sesión en todos los dispositivos desde la configuración de tu cuenta de Plex y cambiar la contraseña. Y considerar expuesto todo lo que la cuenta de servicio de Plex podía alcanzar, como las carpetas compartidas montadas y las credenciales guardadas en el mismo equipo o máquina virtual. En un NAS donde también viven las fotos familiares y las copias de seguridad de la oficina, eso es bastante más que películas.

Cómo bajar la exposición

• Si no necesitás ver Plex desde afuera de tu casa u oficina: desactivá Remote Access en Plex Web, en Settings > Remote Access, y no redirijas el puerto 32400.
• Si necesitás acceso remoto: QNAP recomienda entrar por una VPN en lugar de dejar Plex expuesto.
• Mantené al día el resto: QNAP pide tener actualizados QTS o QuTS hero y todas las apps instaladas.

Fuentes

• QNAP, «QNAP Security Notice: Plex Media Server Vulnerabilities (Plex2Shell) – Update to 1.43.3.10861 or Later Immediately» (en inglés), 6 de noviembre de 2026. Los reportes de NAS comprometidos, qué sistemas no están afectados y los pasos recomendados. Traducción de TCD.
• Plex, «Important Security Update for Plex Media Server v1.43.2 and earlier» (en inglés), actualización del 19 de octubre de 2026 en el foro oficial. Los cuatro CVE, la explotación activa y los indicios de compromiso. Traducción de TCD.
• CISA, catálogo de vulnerabilidades explotadas conocidas (en inglés). Entradas de Plex Media Server agregadas el 20 de octubre de 2026.
• BleepingComputer, «QNAP says hackers breaching NAS devices in Plex2Shell attacks» (en inglés), 6 de noviembre de 2026.
• Créditos de imagen: la portada es un fotomontaje editorial asistido por IA con la imagen oficial del comunicado de QNAP y el logo oficial de Plex; la infografía es un fotomontaje asistido por IA con el logo oficial de Plex y los datos del aviso de QNAP.