安全 · 2026年11月12日
也发布于 Deutsch, Nederlands, Español, Português (Brasil), Svenska, Polski, Türkçe, 日本語, Indonesia
时序：Synology NAS发布Plex2Shell漏洞安全更新
Synology发布了更新，以解决其NAS中使用的Plex媒体服务器的四个安全漏洞。这些漏洞被称为Plex2Shell，攻击者可能通过利用这些漏洞进行未经授权的远程恶意代码执行。
在11月8日，Synology发布了官方安全公告“Synology-SA-26:17”，并提供了针对不同版本DSM的修复包。
此次修复涉及的漏洞包括服务器端请求伪造（SSRF）问题CVE-2026-96652和CVE-2026-96655（CVSS 4.3）、URL验证问题CVE-2026-96654（CVSS 6.5）以及任意文件写入漏洞CVE-2026-96656（CVSS 7.2）。
尽管单个漏洞的利用条件有限，但攻击者可以组合这些漏洞，从而绕过认证，进行远程代码执行。
Synology发布的修复版本要求DSM 7.4和7.3的Plex Media Server版本为1.43.5.11079-720011079以上，DSM 7.2.2和7.2.1则需为1.43.5.11079-700011079以上。
需要注意的是，此问题并非源于Synology DSM操作系统本身，而是安装在NAS上的Plex Media Server包中。因此，即使DSM保持最新版本，仍需针对脆弱的Plex包进行单独更新。
此前，QNAP也于11月6日报告了与同一Plex2Shell漏洞相关的实际入侵事件。然而，目前尚未确认Synology NAS是否遭遇了该漏洞的实际利用。安全专家建议使用Plex Media Server的NAS用户立即检查安装版本并应用最新的安全补丁，特别是直接暴露于互联网的NAS，需同时检查外部访问设置和异常访问记录。