家用影音伺服器 Plex Media Server 的 Plex2Shell 漏洞鏈，從 9 月釋出修補到現在已經兩個多月，11 月 6 日又有新進展：QNAP 發布公告，提醒舊版 Plex 曾經可從外網連入的 NAS 用戶，只更新還不夠，要當成可能已被入侵處理。
這件事前後經過好幾個時間點，資訊散在 Plex、研究者、CISA 和 QNAP 各自的公告裡。我們來看看整個事件怎麼演變，以及這次被列入 CISA KEV 的 CVE-2026-96656 在漏洞鏈中負責哪一段。
想直接知道怎麼檢查與處理，可以前往 Plex2Shell 漏洞怎麼查、怎麼修。
Plex2Shell 事件時間線
| 日期 | 事件 | 出處 |
|---|---|---|
| 2026-07-27 | 研究者向 Plex 通報漏洞 | 研究者 Disclosure Timeline |
| 2026-08-04 | Plex 確認收到通報並支付漏洞獎金 | 同上 |
| 2026-09-01 | Plex 發布公告，說明已釋出 Plex Media Server 1.43.3，請所有伺服器更新 | Plex 官方論壇公告 |
| 2026-09-23 | 4 個 CVE 完成編號 | 研究者 Disclosure Timeline |
| 2026-10-16 | 研究者公開技術細節與 PoC | 同上 |
| 2026-10-19 | Plex 補上 4 個 CVE 的說明，確認漏洞正被廣泛利用 | Plex 官方論壇公告 |
| 2026-10-20 | CISA 把 4 個 CVE 列入 KEV（已知遭利用漏洞目錄） | CISA KEV |
| 2026-11-06 | QNAP 發布 Plex2Shell 安全公告與檢查處理 FAQ | QNAP FAQ |
有一點要留意：Plex 在 9 月 1 日的公告只說修補了「一些安全問題」，CVE 細節到 10 月 19 日才補上，比 PoC 公開晚 3 天。
CVE-2026-96656 在漏洞鏈中的位置
Plex2Shell 是 4 個漏洞串起來的攻擊，CVE-2026-96656 是其中可以寫入任意檔案的那一段，Plex 與 CISA 的說明如下：
| 來源 | 說明 |
|---|---|
| Plex 官方論壇公告 | 原文：Arbitrary file write to the Codecs directory through transcoder preferences 翻譯：透過轉檔設定，可將任意檔案寫入 Codecs 資料夾 |
| CISA KEV | 原文：Plex Media Server External Control of File Name or Path Vulnerability 翻譯：Plex Media Server 外部可控制檔案名稱或路徑的漏洞 |
資料來源：Plex 官方論壇公告、CISA KEV。中文由 AI 翻譯，翻譯可能有誤，如有出入，以官方原文為準。
依 Plex 的說明，4 個漏洞串在一起後，未經驗證的遠端攻擊者就能以 Plex Media Server 的權限執行程式碼。CISA 給聯邦機構修補 CVE-2026-96656 的期限是 2026 年 10 月 23 日，只有列入 KEV 後的 3 天。
各漏洞怎麼一步步接力，在 Plex2Shell 漏洞怎麼查、怎麼修的「漏洞鏈怎麼運作」有完整說明。
QNAP 這次說了什麼
QNAP 在 11 月 6 日的 FAQ 中說明了影響範圍：
- 漏洞只存在於 Plex Media Server，QNAP 自家的 QTS 與 QuTS hero 作業系統不受影響。
- 只有安裝 Plex Media Server 1.43.2 或更早版本的 NAS 受影響，沒有安裝 Plex 的 NAS 不需要處理。
- 執行 1.43.2 或更早版本期間，Plex 曾經可從外網連入的 NAS，只更新還不夠，要當成可能已被入侵，依序完成乾淨重裝、入侵跡象檢查與重設憑證。
BleepingComputer 在同一天的報導中引述 QNAP 公告，提到已有用戶 NAS 上的 Plex Media Server 疑似遭到入侵，報導引用的原文是「appears to have been compromised」。截至撰稿時，還沒能直接讀到 QNAP 安全公告的內文來核對這句話，有需要的讀者可以前往 QNAP 安全公告 查看最新說明。
該怎麼處理
版本確認、判斷是否中招、乾淨重裝與重設憑證的完整步驟，請前往 Plex2Shell 漏洞怎麼查、怎麼修。
參考資料與延伸閱讀
- Plex 官方論壇：Important Security Update for Plex Media Server v1.43.2 and earlier
- 研究者技術文章：Plex2Shell
- CISA Known Exploited Vulnerabilities Catalog
- NVD：CVE-2026-96656
- QNAP：Plex2Shell Check and Remediation FAQ for QNAP NAS Users
- QNAP 安全公告：Plex Media Server vulnerabilities (Plex2Shell)
- BleepingComputer：QNAP says hackers breaching NAS devices in Plex2Shell attacks
- iThome：威聯通警告部分NAS設備遭遇Plex2Shell漏洞攻擊（原新聞）
發佈留言