Pembaruan Keamanan untuk Kerentanan ‘Plex2Shell’ di NAS Synology

blue LAN cable plugged in green and black router — Franck V. / Unsplash

Synology telah merilis pembaruan untuk mengatasi empat kerentanan keamanan pada server media Plex yang digunakan di NAS mereka. Kerentanan ini disebut ‘Plex2Shell’ dan dapat dieksploitasi oleh penyerang untuk mengeksekusi kode berbahaya dari jarak jauh tanpa otentikasi jika beberapa kerentanan digabungkan.

Pada tanggal 8 November, Synology mengeluarkan pengumuman keamanan resmi bernama ‘Synology-SA-26:17’ dan telah menyediakan paket perbaikan untuk versi sistem operasi NAS mereka, DSM.

Keempat kerentanan yang diperbaiki termasuk masalah server-side request forgery (SSRF) dengan kode CVE-2026-96652 dan CVE-2026-96655 (CVSS 4.3), masalah validasi URL dengan CVE-2026-96654 (CVSS 6.5), serta kerentanan penulisan file sembarangan dengan CVE-2026-96656 (CVSS 7.2).

Meskipun masing-masing kerentanan memiliki kondisi eksploitasi yang terbatas, kombinasi dari kerentanan ini dapat memungkinkan penyerang untuk menghindari prosedur otentikasi dan mengakses eksekusi kode dari jarak jauh.

Versi perbaikan yang dirilis oleh Synology mencakup Plex Media Server versi 1.43.5.11079-720011079 atau lebih baru untuk DSM 7.4 dan 7.3, serta versi 1.43.5.11079-700011079 atau lebih baru untuk DSM 7.2.2 dan 7.2.1.

Kerentanan ini berasal dari paket Plex Media Server yang diinstal terpisah di NAS, bukan dari sistem operasi DSM itu sendiri. Oleh karena itu, meskipun pengguna telah memperbarui DSM ke versi terbaru, mereka harus memperbarui paket Plex yang rentan secara terpisah.