Sicherheit · 11. November 2026
Auch veröffentlicht auf Nederlands, Español, Português (Brasil), Svenska, Polski, Türkçe
Synology veröffentlicht Sicherheitsupdate gegen die Plex2Shell-Schwachstelle
Synology hat ein Sicherheitsupdate für die in ihren NAS-Geräten eingesetzte Plex Media Server-Software veröffentlicht, um vier kritische Sicherheitslücken zu schließen. Diese Schwachstellen, die unter dem Sammelbegriff Plex2Shell bekannt sind, ermöglichen es Angreifern, ohne Authentifizierung von außen bösartigen Code auszuführen.
Am 8. November stellte das Unternehmen den offiziellen Sicherheitsbericht Synology-SA-26:17 bereit und stellte die entsprechenden Korrekturpakete für verschiedene Versionen des Betriebssystems DSM bereit. Die behobenen Mängel umfassen zwei Fälle von Server-Side Request Forgery mit den Kennungen CVE-2026-96652 und CVE-2026-96655, ein Problem bei der URL-Prüfung mit der Kennung CVE-2026-96654 sowie eine Schwachstelle zum Schreiben beliebiger Dateien mit der Kennung CVE-2026-96656.
Obwohl die Ausnutzung der einzelnen Fehler eingeschränkte Bedingungen erfordert, besteht die Gefahr, dass Angreifer diese kombinieren, um die Authentifizierung zu umgehen und so eine ferne Codeausführung zu erreichen. Die behobenen Versionen sind für DSM 7.4 und 7.3 die Plex Media Server-Version 1.43.5.11079-720011079 und höher, während für DSM 7.2.2 und 7.2.1 die Version 1.43.5.11079-700011079 und höher erforderlich ist.
Die Sicherheitslücken betreffen nicht das DSM-Betriebssystem selbst, sondern das separat installierte Plex Media Server-Paket. Daher ist ein Update des Betriebssystems allein nicht ausreichend, wenn eine anfällige Version des Medienpakets installiert ist. Zuvor hatte QNAP am 6. November über mögliche tatsächliche Kompromittierungen im Zusammenhang mit derselben Schwachstelle berichtet. Für Synology-Geräte ist jedoch derzeit nicht bestätigt, ob die Lücke bereits ausgenutzt wurde. Sicherheitsexperten raten Nutzern, ihre installierten Versionen sofort zu überprüfen und die Patches zu installieren, insbesondere bei Geräten, die direkt mit dem Internet verbunden sind.