你的NAS 变“免费矿机”了？Plex 爆出致命漏洞链，威联通官方紧急发布“抢救”指南！

买 NAS的初衷，是为了给家里的照片、电影和重要文档找个安全的“赛博保险箱”。但如果你在这个保险箱里装了一个带有“后门”的媒体播放器，那你的数据可能早就被黑客看光了，甚至你的 NAS 还在日夜不停地帮黑客“打工”。

11月6日，威联通（QNAP）在其官网发布了一份紧急安全公告：其 NAS 设备上运行的第三方应用 Plex Media Server 爆出了严重的漏洞链，已有大量用户的设备疑似被黑客入侵。

今天咱们就来看看公告中的 “Plex2Shell” 的漏洞到底是怎么回事，以及 QNAP 玩家该如何保住自己的“身家性命”。

• 官方公告：https://www.qnap.com/en/security-news/2026/qnap-security-notice-plex-media-server-vulnerabilities-plex2shell-update-to-1-43-3-10861-or-later-immediately

1. 什么是 Plex2Shell？为什么威联通会中招？

Plex2Shell 并不是一个单一的漏洞，而是 Plex Media Server（1.43.2 及更早版本）中 4 个漏洞的组合（CVE-2026-96652/96654/96655/96656）。

当这 4 个漏洞被黑客像“连环计”一样串联起来时，就能实现未经身份验证的远程代码执行（RCE）。简单来说，只要你的 Plex 服务暴露在公网上，黑客不需要你的密码，就能直接获取 NAS 上 Plex 进程的控制权。

黑客拿你的 NAS 干了什么？

根据 Plex 和威联通的确认，黑客入侵后并没有急着勒索你的数据，而是把你的 NAS 变成了 “肉鸡”——在后台悄悄运行加密货币挖矿程序和代理软件（Proxy），白嫖你的 CPU 算力和家庭宽带。

⚠️ 避坑提示：威联通官方确认，漏洞仅存在于 Plex 这个第三方应用中，威联通自己的操作系统（QTS / QuTS hero）本身是安全的。但如果 Plex 拿到了执行权限，黑客依然可以通过它作为跳板，进一步威胁你 NAS 里的其他数据。

2. 灵魂拷问：你的 Plex 暴露在公网了吗？

这个漏洞能发挥作用的核心前提是：你的 Plex 必须能从互联网直接访问。

请立刻回想或检查，你是否做过以下“作死”操作：

• 在 Plex 设置里开启了 “远程访问（Remote Access）”。
• 在路由器里把 32400 端口直接映射（端口转发）给了 NAS。
• 路由器开启了 UPnP，Plex 自动把端口打通了。
• 使用了 myQNAPcloud 的自动路由器配置，把 Plex 暴露了出去。

如果你中了一条，且 Plex 版本低于 1.43.3，那么请默认你的 NAS 已经被黑客光顾过了！

3. 中招自查：你的 NAS 有没有在“偷偷挖矿”？

如果你怀疑自己已经中招，可以通过以下几个“临床症状”来判断：

• CPU 莫名满载：明明没人在看视频，NAS 的 CPU 占用率却居高不下（可在 QTS 资源监视器中查看）。
• 诡异的进程：在后台发现了名字奇奇怪怪的进程，比如 myawesomeproxy、mylovelyminer 或 x12345。
• 陌生的文件：Plex 的 Codecs 文件夹里多出了你不认识的 .so 或 .dll 文件。
• 异常的网络连接：发现 NAS 有连接到 proxystream.st 等未知域名的出站流量。
• 杀毒软件报警：QNAP 自带的 Malware Remover 扫出了恶意代码（如 MR2104）。

4. 保姆级“急救与重装”指南

发现漏洞后，千万不要以为“点个更新”就万事大吉了！ 更新只能堵住房门，但黑客可能已经在你家里安了“暗道”。请严格按照以下情况对号入座：

🟢 情况 A：我的 Plex 从来没暴露在公网（仅局域网使用）

• 解药：谢天谢地，你很安全。直接去威联通的 App Center > My Apps，把 Plex Media Server 更新到 1.43.3.10861 或更高版本即可。

🔴 情况 B：我的 Plex 曾经暴露在公网（且版本低于 1.43.3）

• 解药：你的设备已被视为“可能受损”，必须进行干净重装和凭据重置！
  1. 保留证据：把 Plex 的 Logs 文件夹（在 PlexData 共享文件夹下）备份出来，万一需要找 QNAP 客服帮忙排查会用到。
  2. 彻底卸载：在 App Center 中移除 Plex。
  3. 清理残留（关键）：用 File Station 检查 PlexData 下的 Plex Media Server 文件夹。不要直接重用！ 至少把里面的 Codecs 文件夹清空（黑客最爱把挖矿木马藏在这里），并检查 Preferences.xml 里有没有被篡改的转码设置。
  4. 重新安装：从 App Center 重新安装 1.43.3 或更高版本的 Plex。
  5. 重置所有密码：去 Plex 官网登出所有设备并修改密码；同时修改 QNAP NAS 的管理员密码，并强制开启两步验证（2FA）。

5. 防患未然：如何优雅且安全地“远程看片”？

很多用户为了在外面也能看 NAS 里的 4K 电影，习惯性地开 UPnP 或映射端口，这在当下极其危险的互联网环境中无异于“裸奔”。

正确的远程访问姿势：

• ❌ 绝对不要在路由器上直接映射 32400 端口，也不要开启路由器的 UPnP 功能。
• ✅ 推荐方案：使用 Tailscale、ZeroTier 等虚拟局域网（SD-WAN）工具，或者使用威联通官方提供的 QVPN Service。通过 VPN 拨号回家后，再在局域网环境下访问 Plex，既安全又能跑满你家的上行带宽。

赶紧去你的 QNAP App Center 里看一眼 Plex 的版本号吧！如果是老版本，今晚就给它安排一次“大扫除”。