Synology släpper säkerhetsuppdatering för Plex Media Server

Synology har publicerat en uppdatering som åtgärdar fyra säkerhetsbrister i Plex Media Server på sina nätverkslagringssystem. Bristerna, som samlas under namnet Plex2Shell, gör det möjligt för angripare att utföra skadlig kod på distans utan att kräva inloggning.

Företaget gav ut säkerhetsmeddelandet Synology-SA-26:17 den 8 november. Uppdateringen omfattar fyra specifika fel: två fall av server-side request forgery med identifierarna CVE-2026-96652 och CVE-2026-96655, ett fel i URL-verifiering med identifieraren CVE-2026-96654 samt ett fel som tillåter godtycklig filskrivning med identifieraren CVE-2026-96656.

De enskilda bristerna har begränsade förutsättningar för utnyttjande, men kombinerade de kan de leda till att inloggningskrav kringgås och att skadlig kod körs på distans. Synology anger att uppdateringen krävs för DSM-versionerna 7.4, 7.3, 7.2.2 och 7.2.1.

Problemet uppstår i Plex Media Server-paketet och inte i DSM-operativsystemet i sig. Användare som har uppdaterat operativsystemet måste ändå installera den nya Plex-versionen för att bli skyddade.

Tidigare har QNAP rapporterat misstänkta intrång kopplade till samma brister den 6 november. Det är dock inte bekräftat att bristerna har utnyttjats på Synology-system.

Säkerhetsexperter rekommenderar att användare av Plex Media Server omedelbart kontrollerar sin installationsversion och installerar den senaste uppdateringen. System som är direkt exponerade för internet bör dessutom granskas för ovanliga inloggningsförsök.