QNAP ağa bağlı depolama (NAS) cihazlarında Plex Media Server çalıştıran kullanıcılar, internete açık servisler üzerinden doğrudan ele geçirme riskiyle karşı karşıya. Şirketin 6 Kasım 2026 tarihli güvenlik bildirimine göre Plex2Shell adı verilen zafiyet zinciri sahada kullanılıyor; bazı kullanıcılar Plex'in ele geçirilmiş göründüğünü Teknik Destek'e bildirdi.
QNAP PSIRT'e göre saldırılardan QTS veya QuTS hero işletim sistemleri doğrudan etkilenmiyor; sorun üçüncü taraf Plex Media Server uygulamasında. CVE-2026-96652, CVE-2026-96654, CVE-2026-96655 ve CVE-2026-96656 tek başlarına NVD'de 4.3 ile 7.2 arasında skorlansa da zincirlendiğinde kimlik doğrulaması olmadan uzaktan kod çalıştırmaya yol açabiliyor.
Saldırganlar ne yapıyor?
Plex'in aktardığına göre 16 Ekim 2026'da teknik ayrıntılar kamuya çıktıktan sonra internete açık, güncellenmemiş sunuculara yaygın saldırılar oldu. Ele geçirilen sunucular kripto madenciliği ve vekil (proxy) yazılımı için kullanıldı. CISA dört CVE'yi 20 Ekim 2026'da bilinen sömürülenler kataloğuna eklemişti.
Ne yapmalısınız?
QNAP, App Center üzerinden Plex Media Server sürümünü en az 1.43.3.10861 yapmayı istiyor; sürümü Plex Web > Settings > General'dan doğrulayın. Plex internetten erişilebilirse (Remote Access, 32400 port yönlendirme, UPnP) yalnız güncellemek yetmez: QNAP FAQ'deki temiz kurulum, tehlike göstergesi (IoC) kontrolü ve Plex ile NAS kimlik bilgilerini sıfırlama adımlarını uygulayın. Uzaktan erişim gerekmiyorsa Remote Access'i kapatın, 32400 yönlendirmeyi kaldırın; gerekiyorsa VPN kullanın. QTS/QuTS hero ve uygulamaları güncel tutun.
Türkiye açısından doğrulanmış yerel mağdur, resmi olay bildirimi veya KVKK duyurusu yok. QNAP NAS Türkiye'de ev ve küçük işletme kullanıcıları arasında bilinen bir marka; Plex App Center'dan kurulabildiği için Plex'i internete açmış herkesin yama ve remediation adımlarını geciktirmeden uygulaması gerekir.
Kaynaklar
- QNAP Security Notice — Plex2Shell (6 Kasım 2026)
- QNAP — Plex2Shell kontrol ve remediation SSS
- BleepingComputer — QNAP Plex2Shell NAS uyarıları (ikincil)
- NVD — CVE-2026-96656
Kapak görseli (temsili): «Network Attached Storage» — Hämmerle S, Wikimedia Commons, CC BY-SA 2.5 (16:9 kırpıldı, 1200×675). Olay görüntüsü değildir; QNAP veya Plex ürün logosu değildir.
