Synology, Plex2Shell açıkları için Plex Media Server paketini güncelledi
Synology, KEV listesindeki dört Plex2Shell açığı için Synology-SA-26:17 bildirimini yayımladı. DSM kullanıcılarının Plex Media Server paketini 1.43.5.11079 sürümüne yükseltmesi gerekiyor.
CVE-2026-96652, CVE-2026-96654, CVE-2026-96655
Synology, Plex Media Server'daki "Plex2Shell" açık zinciri için 8 Kasım'da Synology-SA-26:17 kodlu güvenlik bildirimini yayımladı. Bildirim dört açığı kapsıyor: CVE-2026-96652, CVE-2026-96654, CVE-2026-96655 ve CVE-2026-96656. Synology durumu "çözüldü" olarak işaretledi ve DSM sürümüne göre iki ayrı paket sürümü yayımladı.
Aynı zincir üzerinden QNAP NAS cihazlarına sızıldığını önceki haberimizde aktarmıştık. Dört açık 20 Ekim'den bu yana CISA KEV kataloğunda. Synology'nin bildiriminde kendi cihazlarında istismar görüldüğüne dair bir bilgi yok; şirket açıkların önem derecesini "Important" olarak verdi ve geçici bir önlem (mitigation) tanımlamadı. Zincirdeki en yüksek puanlı açık CVE-2026-96656 (CVSS 7.2). Bu açık, yönetici yetkisiyle yüklenen bir dosyanın Plex başlarken çalıştırılmasına yol açabiliyor; diğer üçü SSRF ve yetkisiz fonksiyon çağrısı türünde.
Etkilenen ve düzeltilmiş sürümler
| Ürün | Etkilenen | Düzeltilmiş sürüm |
|---|---|---|
| Plex Media Server (DSM 7.4 ve DSM 7.3) | 1.43.3.10861 öncesi | 1.43.5.11079-720011079 veya üstü |
| Plex Media Server (DSM 7.2.2 ve DSM 7.2.1) | 1.43.3.10861 öncesi | 1.43.5.11079-700011079 veya üstü |
Sürümler Synology-SA-26:17 bildiriminden alınmıştır.
Beni etkiliyor mu?
DSM arayüzünde Paket Merkezi › Yüklü bölümünde Plex Media Server'ın sürümüne bakın. Sürüm yukarıdaki tabloda DSM sürümünüz için verilen değerin altındaysa cihazınız etkileniyor. DSM sürümünü Denetim Masası › Bilgi Merkezi ekranından görebilirsiniz. Plex'in internetten erişilebilir olup olmadığını anlamak için yönlendiricide 32400 portunun NAS'a yönlendirilip yönlendirilmediğini kontrol edin.
Ne yapılmalı?
- Plex Media Server paketini Paket Merkezi üzerinden DSM sürümünüze uygun düzeltilmiş sürüme yükseltin.
- Plex dışarıya açıksa ve güncelleme gecikmişse cihazı ele geçirilmiş olabilir diye değerlendirin; Plex ve DSM hesaplarının parolalarını değiştirin, DSM günlüklerinde beklenmeyen oturum ve paket değişikliklerine bakın.
- Uzaktan erişim gerekmiyorsa Plex'in uzaktan erişim özelliğini kapatın ve 32400 port yönlendirmesini kaldırın; gerekiyorsa erişimi VPN üzerinden verin.
- Plex hesabında kullanılmayan cihaz ve oturumları kaldırın.
- Birden fazla NAS yönetiyorsanız güncellemeyi change management sürecinde planlayın ve tamamlanan cihazları envanterde işaretleyin.
