Plex2Shell 是一组正在被真实攻击利用的 Plex Media Server 漏洞链，凡是装了 Plex 并开放外网访问的 NAS，都应该立刻核对版本。
Plex 用来把 NAS 里的电影、剧集、音乐整理成媒体库，很多人为了在外面也能看片，会顺手打开远程访问。Plex2Shell 由四个漏洞串成一条链，攻击者通过互联网即可组合利用，不需要 Plex 账号和密码，就能让服务器执行恶意程序。目前已有受害设备被用来跑加密货币挖矿程序和代理软件；威联通在 11 月 6 日发布安全公告，表示已收到用户 NAS 疑似被入侵的报告。
值得强调的是，漏洞出在 Plex Media Server 本身，而不是 QTS 或 QuTS hero 系统，所以换品牌并不能躲开——群晖、其他品牌 NAS，乃至自行搭建的媒体服务器，只要跑着 Plex 都在影响范围内。
几个关键点：
- 不用密码就能打：四个漏洞组合后可直接从公网拿到命令执行权限
- 攻击已经发生：利用代码 10 月 16 日流出后，针对公网 Plex 服务器的攻击明显增多
- 修复门槛很低：升级到 1.43.3.10861 及以上版本即可堵住
- 暴露面才是根因：长期把管理端口直接摊在公网上，风险远大于便利
自查与处置：
在 QNAP 的 App Center → My Apps 里查看 Plex Media Server 版本，对照下面两行即可判断。
1.43.2 及更早 → 存在漏洞，尽快升级
1.43.3.10861 及以上 → 已修复
升级之外，建议把外网访问方式换掉：用 Tailscale 这类组网工具打通，或至少给访问来源加白名单，不要让服务直接暴露在公网。
支持平台：跨平台，凡运行 Plex Media Server 的 NAS 与自建服务器均适用。
⚠️ 版权与免责声明：部分资源收集于互联网，不保证完全可用。
下载前请先阅读本站《免责声明》；
若遇到链接失效，可通过评论或留言联系管理员补档。
资源仅供个人学习参考，请于下载后 24 小时内删除；
如涉及版权问题，请速联系本站处理。
评论 (0)