Des pirates informatiques sont parvenus à compromettre des serveurs de stockage NAS QNAP, parfois utilisés pour conserver des milliers de fichiers personnels ou professionnels. Le 6 novembre 2026, le fabricant taïwanais a reconnu avoir reçu plusieurs signalements de clients dont les appareils semblent avoir été piratés. En cause : quatre vulnérabilités permettant à des attaquants de s’introduire à distance dans certains serveurs, sans même connaître leur mot de passe. Plus inquiétant encore, les cybercriminels exploitent ces failles depuis plusieurs semaines, alors qu’un correctif était disponible depuis septembre.
La menace ne relève plus de la simple hypothèse. Dans une communication officielle publiée le 6 novembre, QNAP reconnaît que certains de ses clients ont signalé des compromissions présumées de leur NAS. Les équipes techniques du constructeur accompagnent désormais les utilisateurs concernés.
Ces appareils, souvent installés au domicile de particuliers ou dans les locaux de petites entreprises, permettent de centraliser des photographies, des sauvegardes informatiques, des vidéos ou encore des documents professionnels. Leur connexion à Internet peut toutefois les transformer en cibles accessibles depuis l’extérieur.
Une cyberattaque qui permet aux pirates d’entrer sans mot de passe
Au cœur de cette affaire se trouve Plex Media Server, une application populaire permettant de diffuser des films, des séries ou de la musique depuis un NAS vers différents appareils.
Les chercheurs en cybersécurité ont identifié un ensemble de quatre vulnérabilités, regroupées sous le nom de Plex2Shell. Ces failles portent les références CVE-2026-96652, CVE-2026-96654, CVE-2026-96655 et CVE-2026-96656.
Combinées, ces vulnérabilités permettent à un pirate distant d’exécuter du code malveillant avec les privilèges du processus Plex, sans disposer d’un compte utilisateur.
Concrètement, un attaquant peut exploiter une requête spécialement conçue pour accéder à certaines fonctionnalités internes du logiciel, récupérer un jeton d’administration et déposer des fichiers malveillants sur le serveur. Cette succession de manipulations lui permet finalement de faire exécuter son propre code.
Un NAS dont l’application Plex vulnérable est exposée sur Internet peut ainsi être compromis sans que son propriétaire ne remarque immédiatement quoi que ce soit. Il faut néanmoins préciser que les vulnérabilités concernent Plex Media Server et non directement les systèmes d’exploitation QTS ou QuTS hero de QNAP.
Des serveurs transformés en machines au service des pirates
Les cybercriminels ne cherchent pas nécessairement à détruire ou à chiffrer les fichiers stockés sur les appareils. Les premières activités malveillantes documentées révèlent une stratégie plus discrète : utiliser les ressources informatiques et les connexions Internet des victimes.
Selon les informations publiées par Plex, des serveurs compromis ont été utilisés pour installer des logiciels de minage de cryptomonnaies. Ces programmes détournent la puissance de calcul des machines afin de générer des revenus pour les attaquants.
D’autres appareils ont été transformés en serveurs proxy. Dans ce scénario, les pirates utilisent la connexion Internet de la victime pour faire transiter du trafic provenant de tiers. L’adresse IP du propriétaire peut alors servir de relais à des activités dont il ignore totalement l’existence.
Les conséquences peuvent être difficiles à identifier. Un NAS compromis peut continuer de fonctionner normalement, tout en hébergeant des processus suspects ou en consommant anormalement des ressources.
Le danger concerne également la confidentialité des données. Plex précise que les dossiers partagés accessibles au compte exécutant son application, ainsi que certains identifiants enregistrés sur le serveur, doivent être considérés comme potentiellement exposés en cas de compromission.
À ce stade, cette possibilité ne constitue toutefois pas une preuve que des pirates ont effectivement dérobé les documents des victimes.
Le plus inquiétant : un correctif existait déjà depuis septembre
L’analyse de la chronologie révèle un élément particulièrement intéressant. Les premières vulnérabilités ont été signalées à Plex dès le 27 juillet 2026, selon les informations publiées par BleepingComputer.
Le 1er septembre, l’éditeur annonçait une mise à jour de sécurité vers Plex Media Server 1.43.3, destinée à corriger plusieurs problèmes. Les détails techniques complets des vulnérabilités n’avaient alors pas encore été rendus publics.
La situation s’est aggravée le 16 octobre, avec la publication d’un code permettant de reproduire l’exploitation des failles. Plex affirme avoir observé, à partir de cette date, une multiplication des attaques contre les serveurs vulnérables accessibles depuis Internet.
Le 19 octobre, l’entreprise confirmait officiellement l’exploitation active et étendue des quatre vulnérabilités. Le lendemain, l’agence américaine de cybersécurité CISA les ajoutait à son catalogue des failles connues pour être exploitées.
Pourtant, il faudra attendre le 6 novembre pour que QNAP publie une alerte spécifique reconnaissant les signalements de compromission de certains NAS de ses clients.
Ce calendrier met en évidence un problème récurrent en cybersécurité : la publication d’un correctif ne signifie pas que les appareils concernés sont immédiatement protégés. Les serveurs qui restent accessibles depuis Internet avec une version vulnérable peuvent continuer à être attaqués plusieurs semaines après la correction initiale.
QNAP reconnaît les intrusions, mais assure ne pas avoir constaté de perte de données
Dans sa communication, QNAP indique que ses équipes d’assistance prennent en charge des utilisateurs ayant signalé une possible compromission de leur serveur Plex.
Le constructeur affirme ne pas avoir constaté de perte de données dans les cas qu’il accompagne. Cette précision mérite d’être soulignée, mais elle ne permet pas d’écarter automatiquement toute exposition d’informations.
En effet, l’absence de perte de données ne signifie pas nécessairement qu’aucun fichier n’a pu être consulté ou copié. Une intrusion peut permettre à un attaquant d’accéder à certaines ressources sans les effacer ni modifier leur contenu.
À ce jour, aucun bilan public ne permet de déterminer combien de NAS QNAP ont été compromis, ni si des utilisateurs français figurent parmi les victimes. Aucune campagne de vol massif de fichiers ou de ransomware directement attribuée à Plex2Shell sur QNAP n’est par ailleurs démontrée par les éléments officiels consultés.
Une simple mise à jour ne suffit pas toujours à éliminer les pirates
C’est probablement l’un des avertissements les plus importants de QNAP. Pour les NAS ayant exécuté une version vulnérable de Plex accessible depuis Internet, le fabricant explique qu’installer le correctif ne suffit pas nécessairement à retrouver un environnement sain.
Si un attaquant a déjà installé un programme malveillant, la mise à jour peut fermer la porte d’entrée initiale sans supprimer les éléments déposés sur le serveur.
QNAP recommande donc aux utilisateurs exposés de procéder à une réinstallation propre de Plex, sans réutiliser les composants potentiellement infectés, puis de renouveler les identifiants des comptes concernés.
Plusieurs signes doivent attirer l’attention : des processus inconnus tels que myawesomeproxy ou mylovelyminer, des fichiers inhabituels dans le répertoire Codecs, des connexions vers le domaine proxystream.st ou encore une activité anormalement élevée du processeur.
Le fabricant demande également de vérifier si le port 32400 a été exposé sur Internet, directement ou par l’intermédiaire de fonctionnalités telles que l’UPnP. Les utilisateurs qui souhaitent conserver un accès à distance sont invités à privilégier un VPN.
Une procédure officielle de QNAP détaille les vérifications et les opérations de nettoyage. La version Plex Media Server 1.43.3.10861, ou toute version ultérieure, corrige les quatre vulnérabilités identifiées.
Deux autres failles critiques découvertes dans l’écosystème QNAP
Cette campagne intervient dans un contexte de sécurité déjà sensible pour le constructeur. Le 22 octobre, QNAP avait publié une autre alerte, cette fois concernant deux vulnérabilités critiques du langage PHP, baptisées PHP2Shell.
Référencées CVE-2026-109618 et CVE-2026-109619, ces failles ont obtenu un score de gravité de 9,2 sur 10 selon le système CVSS v4. Elles peuvent permettre une exécution de code à distance sans authentification dans certaines conditions.
Contrairement à Plex2Shell, ces vulnérabilités concernent directement plusieurs produits et composants logiciels de QNAP, notamment QTS, QuTS hero, QuTScloud et certaines applications. Le fabricant a commencé à publier des correctifs à partir du 24 octobre pour ses principaux systèmes concernés.
Il convient néanmoins de distinguer les deux affaires : les compromissions signalées en novembre concernent Plex2Shell, et rien ne permet d’affirmer qu’elles sont liées aux failles PHP2Shell. QNAP n’a pas annoncé de compromissions de ses produits attribuées à ces deux vulnérabilités PHP.
Des milliers de fichiers stockés derrière une seule porte d’entrée
Au-delà des vulnérabilités techniques, cette affaire illustre une évolution importante des risques pesant sur les équipements de stockage connectés.
Autrefois principalement destinés à sauvegarder des fichiers, les NAS sont progressivement devenus de véritables serveurs capables d’exécuter de nombreuses applications : gestion multimédia, vidéosurveillance, sauvegardes, synchronisation de documents ou services accessibles depuis Internet.
Chaque application supplémentaire peut élargir la surface d’attaque. Dans le cas de Plex2Shell, ce n’est pas une vulnérabilité du système de stockage lui-même qui a ouvert la voie aux intrusions, mais celle d’un logiciel tiers installé sur l’appareil.
Cette distinction est importante pour les propriétaires de NAS qui considèrent parfois leur équipement comme un simple disque dur accessible sur leur réseau. Dès lors qu’il exécute des services connectés à Internet, il doit être protégé comme n’importe quel autre serveur informatique.
Une campagne dont l’ampleur réelle reste inconnue
Les confirmations de Plex et de QNAP démontrent que des cybercriminels exploitent réellement les vulnérabilités Plex2Shell et que certains utilisateurs de NAS QNAP ont signalé des compromissions. En revanche, plusieurs interrogations restent sans réponse.
Combien d’appareils ont été touchés ? Depuis combien de temps certains serveurs sont-ils utilisés à l’insu de leurs propriétaires ? Des documents personnels ou professionnels ont-ils été consultés ? Et combien de NAS exposés utilisent encore aujourd’hui une ancienne version de Plex ?
Aucun chiffre public vérifiable ne permet actuellement de mesurer précisément l’ampleur de cette campagne, notamment en France.
Une chose est néanmoins établie : des serveurs de stockage personnels et professionnels ont été exposés à une chaîne de vulnérabilités activement exploitée, et QNAP reconnaît désormais accompagner des clients concernés. Pour les utilisateurs possédant un NAS accessible depuis Internet, l’enjeu dépasse la simple mise à jour d’une application : il s’agit aussi de vérifier qu’aucun pirate n’a déjà réussi à s’y installer.