เตือนภัย Plex2Shell โจมตี QNAP NAS ผ่าน Plex Media Server เสี่ยงถูกควบคุมระบบจากระยะไกล
องค์กรที่ใช้งานอุปกรณ์จัดเก็บข้อมูลผ่านเครือข่าย (Network Attached Storage: NAS) ของ QNAP ควรเร่งตรวจสอบความปลอดภัยของระบบ หลัง ThaiCERT แจ้งเตือนพบการโจมตีที่ใช้ประโยชน์จากชุดช่องโหว่ Plex2Shell ในแอปพลิเคชัน Plex Media Server ซึ่งเปิดโอกาสให้ผู้ไม่หวังดีสามารถสั่งรันคำสั่งบนระบบจากระยะไกลได้โดยไม่จำเป็นต้องผ่านการยืนยันตัวตน
ความเสี่ยงดังกล่าวอาจส่งผลให้ผู้โจมตีสามารถติดตั้งมัลแวร์ โปรแกรมขุด Cryptocurrency หรือซอฟต์แวร์ Proxy บนอุปกรณ์ที่ถูกเจาะระบบ รวมถึงอาจใช้ NAS เป็นช่องทางในการโจมตีอุปกรณ์อื่นภายในเครือข่ายองค์กร
สำหรับธุรกิจที่ใช้ NAS เป็นพื้นที่จัดเก็บเอกสารสำคัญ ข้อมูลลูกค้า ไฟล์งาน หรือระบบสำรองข้อมูล เหตุการณ์นี้ถือเป็นประเด็นด้าน Cyber Security ที่ไม่ควรมองข้าม
รายละเอียดช่องโหว่ Plex2Shell คืออะไร?
Plex2Shell เป็นชุดช่องโหว่ด้านความปลอดภัยที่พบในแอปพลิเคชัน Plex Media Server ซึ่งทำงานอยู่บนอุปกรณ์ QNAP NAS โดยประกอบด้วยช่องโหว่ 4 รายการ ได้แก่
- CVE-2026-96652
- CVE-2026-96654
- CVE-2026-96655
- CVE-2026-96656
ช่องโหว่เหล่านี้มีความเสี่ยงเมื่อถูกนำมาใช้ร่วมกันเป็นลำดับการโจมตี หรือที่เรียกว่า Exploit Chain ทำให้ผู้โจมตีสามารถดำเนินการ Remote Code Execution (RCE) หรือสั่งให้ระบบเรียกใช้คำสั่งที่เป็นอันตรายจากระยะไกลได้ โดยไม่ต้องผ่านขั้นตอนการล็อกอิน
ตามรายงานของ ThaiCERT มีการเผยแพร่รายละเอียด Proof of Concept (PoC) เมื่อวันที่ 16 ตุลาคม 2569 และหลังจากนั้นเริ่มพบรายงานการนำช่องโหว่ไปใช้โจมตีระบบจริง
อุปกรณ์ที่ถูกบุกรุกบางส่วนถูกนำไปติดตั้งโปรแกรมขุด Cryptocurrency และซอฟต์แวร์ Proxy เพื่อใช้ประโยชน์จากทรัพยากรของระบบที่ถูกโจมตี
ทั้งนี้ QNAP ยืนยันว่าปัญหาดังกล่าวเกิดจากแอปพลิเคชัน Plex Media Server ไม่ใช่ช่องโหว่โดยตรงของระบบปฏิบัติการ QTS หรือ QuTS hero และจากกรณีที่ได้รับแจ้งยังไม่พบการสูญหายของข้อมูล
ระบบและอุปกรณ์ที่ได้รับผลกระทบ
ThaiCERT ระบุว่าระบบที่มีความเสี่ยงคือ Plex Media Server เวอร์ชัน 1.43.2 และเวอร์ชันก่อนหน้า โดยเฉพาะอุปกรณ์ QNAP NAS ที่ติดตั้งแอปพลิเคชันดังกล่าวและเปิดให้เข้าถึงจากอินเทอร์เน็ต
กลุ่มระบบที่ควรเร่งตรวจสอบ ได้แก่
1. QNAP NAS ที่ติดตั้ง Plex Media Server
อุปกรณ์ NAS ที่ใช้งาน Plex Media Server เวอร์ชันที่มีช่องโหว่ โดยเฉพาะระบบที่ยังไม่ได้ติดตั้งแพตช์แก้ไข
2. ระบบที่เปิดใช้งาน Plex Remote Access
การเปิด Remote Access ทำให้ผู้ใช้งานสามารถเข้าถึง Plex Media Server จากภายนอกเครือข่ายได้ หากระบบยังใช้เวอร์ชันที่มีช่องโหว่ อาจกลายเป็นช่องทางให้ผู้โจมตีเข้าถึงบริการได้
3. ระบบที่เปิด Port Forwarding
อุปกรณ์ที่ตั้งค่า Port Forwarding ผ่านพอร์ต TCP/32400 หรือเปิดพอร์ตอัตโนมัติผ่าน UPnP อาจเพิ่มความเสี่ยงจากการถูกโจมตีโดยตรงผ่านอินเทอร์เน็ต
4. ระบบที่ยังไม่ได้อัปเดต Security Patch
NAS ที่ยังใช้ Plex Media Server เวอร์ชันเก่าและเปิดให้เข้าถึงจากภายนอก ควรได้รับการตรวจสอบและแก้ไขโดยเร็วที่สุด
ผลกระทบที่อาจเกิดขึ้นกับองค์กร
การโจมตี Plex2Shell ไม่ได้จำกัดอยู่เพียงการเข้าถึงบริการ Media Server เท่านั้น แต่ยังอาจส่งผลต่อความปลอดภัยของข้อมูลและระบบเครือข่ายที่เชื่อมต่อกับ NAS
ผลกระทบสำคัญประกอบด้วย
การเข้าถึงและขโมยข้อมูล
หากผู้โจมตีสามารถสั่งรันคำสั่งผ่าน Plex Media Server ได้สำเร็จ อาจเข้าถึงข้อมูลที่บริการดังกล่าวมีสิทธิ์ใช้งาน รวมถึงไฟล์เอกสาร ข้อมูลภายใน และข้อมูลสำคัญขององค์กร
การติดตั้ง Malware และโปรแกรมที่ไม่ได้รับอนุญาต
ผู้โจมตีอาจติดตั้งมัลแวร์ โปรแกรมขุด Cryptocurrency หรือ Proxy Software เพื่อใช้ทรัพยากรของ NAS ในกิจกรรมที่ไม่ได้รับอนุญาต ส่งผลให้ประสิทธิภาพการทำงานของอุปกรณ์ลดลง และอาจเพิ่มภาระให้กับระบบ Infrastructure
ใช้ NAS เป็นช่องทางโจมตีระบบอื่น
เมื่อ NAS ถูกบุกรุก อุปกรณ์ดังกล่าวอาจถูกใช้เป็นจุดเริ่มต้นในการโจมตีระบบอื่นภายในองค์กร เช่น File Server, Workstation หรืออุปกรณ์ Network ที่เชื่อมต่ออยู่
ความเสี่ยงต่อระบบสำรองข้อมูล
หากองค์กรใช้ NAS เป็นพื้นที่เก็บ Backup โดยไม่มีการแยกเครือข่ายหรือแยกสิทธิ์การเข้าถึงอย่างเหมาะสม การถูกบุกรุกอาจเพิ่มความเสี่ยงต่อข้อมูลสำรอง ทำให้การกู้คืนระบบเมื่อเกิดเหตุการณ์ผิดปกติทำได้ยากขึ้น
แนวทางตรวจสอบและป้องกันช่องโหว่ Plex2Shell
องค์กรที่ใช้งาน QNAP NAS ควรดำเนินการตรวจสอบและปรับปรุงระบบตามแนวทางต่อไปนี้
1. อัปเดต Plex Media Server เป็นเวอร์ชันล่าสุด
ควรอัปเดต Plex Media Server เป็นเวอร์ชัน 1.43.3 หรือใหม่กว่า ตามคำแนะนำของ ThaiCERT เพื่อแก้ไขช่องโหว่ที่เกี่ยวข้องกับ Plex2Shell
นอกจากตัวแอปพลิเคชันแล้ว ควรตรวจสอบเวอร์ชันของ QTS, QuTS hero และแอปพลิเคชันอื่นที่ติดตั้งอยู่บน NAS ให้เป็นเวอร์ชันที่ได้รับการแก้ไขช่องโหว่ด้านความปลอดภัยแล้ว
2. ปิด Remote Access หากไม่มีความจำเป็น
หากองค์กรไม่ได้ใช้งาน Plex Media Server จากภายนอก ควรปิดฟังก์ชัน Plex Remote Access และยกเลิก Port Forwarding ของ TCP/32400 บน Router หรือ Firewall
การลดจำนวนบริการที่เปิดให้เข้าถึงจากอินเทอร์เน็ตจะช่วยลด Attack Surface ของระบบได้
3. ใช้ VPN แทนการเปิดบริการโดยตรง
หากจำเป็นต้องเข้าถึง NAS จากภายนอก ควรพิจารณาใช้ Virtual Private Network (VPN) เพื่อให้ผู้ใช้งานเชื่อมต่อผ่านช่องทางที่มีการควบคุมสิทธิ์และตรวจสอบตัวตน แทนการเปิดบริการ Plex ให้เข้าถึงได้โดยตรงจากอินเทอร์เน็ต
4. ตรวจสอบ Logs และพฤติกรรมผิดปกติ
ผู้ดูแลระบบควรตรวจสอบบันทึกเหตุการณ์ของ Plex Media Server และอุปกรณ์ NAS โดยให้ความสำคัญกับพฤติกรรมต่อไปนี้
- การเรียกใช้คำสั่งที่ไม่รู้จัก
- การพบ Process หรือ Service ที่ไม่คุ้นเคย
- การเชื่อมต่อไปยัง IP Address หรือปลายทางที่ผิดปกติ
- การเปลี่ยนแปลงการตั้งค่าระบบโดยไม่ได้รับอนุญาต
- การใช้ CPU หรือทรัพยากรระบบสูงผิดปกติ
หากพบพฤติกรรมต้องสงสัย ควรดำเนินการตรวจสอบโดยผู้เชี่ยวชาญก่อนนำระบบกลับมาให้บริการตามปกติ
5. เปลี่ยนรหัสผ่านและตรวจสอบความปลอดภัย
สำหรับอุปกรณ์ที่เปิดให้เข้าถึงจากอินเทอร์เน็ตและอาจได้รับผลกระทบ ควรดำเนินการตามคำแนะนำของ QNAP โดยติดตั้ง Plex Media Server ใหม่ พร้อมเปลี่ยนรหัสผ่านบัญชี Plex และบัญชีผู้ใช้งาน NAS ทันที
6. สำรองข้อมูลแยกจากระบบหลัก
ควรจัดทำ Backup ข้อมูลสำคัญไปยังพื้นที่จัดเก็บที่แยกออกจาก NAS หลัก พร้อมตรวจสอบความสมบูรณ์ของข้อมูลสำรองและทดสอบกระบวนการกู้คืนข้อมูลอย่างสม่ำเสมอ
การมี Backup ที่แยกจากระบบหลักจะช่วยลดผลกระทบหากอุปกรณ์ถูกโจมตีหรือข้อมูลได้รับความเสียหาย
หากยังไม่สามารถอัปเดตระบบได้ ควรทำอย่างไร?
ในกรณีที่องค์กรยังไม่สามารถอัปเดต Plex Media Server ได้ทันที ควรดำเนินมาตรการลดความเสี่ยงชั่วคราวก่อน ได้แก่
- ปิด Plex Remote Access
- ยกเลิก Port Forwarding ของ TCP/32400
- ปิดการเข้าถึงบริการจากอินเทอร์เน็ตผ่าน Router หรือ Firewall
- จำกัดการเข้าถึง NAS ให้เฉพาะอุปกรณ์และเครือข่ายที่ได้รับอนุญาต
- ใช้ VPN หากมีความจำเป็นต้องเชื่อมต่อจากภายนอก
หากพบสัญญาณว่าระบบอาจถูกบุกรุก ควรแยกอุปกรณ์ออกจากเครือข่ายที่ไม่จำเป็น เก็บรักษาหลักฐานดิจิทัล และตรวจสอบระบบก่อนนำกลับมาใช้งาน
มุมมองด้าน IT Infrastructure: ทำไมองค์กรจึงไม่ควรมองข้ามความปลอดภัยของ NAS?
ปัจจุบัน NAS ไม่ได้เป็นเพียงอุปกรณ์จัดเก็บไฟล์ทั่วไป แต่มีบทบาทสำคัญในระบบ IT Infrastructure ขององค์กร ทั้งการแชร์ข้อมูลระหว่างแผนก การจัดเก็บเอกสารธุรกิจ การทำงานร่วมกัน และการสำรองข้อมูล
หากอุปกรณ์ NAS เชื่อมต่อกับระบบ Network ภายในองค์กรโดยไม่มีการควบคุมสิทธิ์ที่เหมาะสม การถูกโจมตีเพียงจุดเดียวอาจสร้างความเสี่ยงต่อระบบอื่นที่เชื่อมต่ออยู่ได้
องค์กรจึงควรให้ความสำคัญกับการบริหารจัดการความปลอดภัยในหลายระดับ ไม่ว่าจะเป็น
- Network Security: จำกัดการเข้าถึง NAS และบริการที่เปิดใช้งานผ่าน Firewall
- Access Control: กำหนดสิทธิ์ผู้ใช้งานตามหน้าที่และความจำเป็น
- Patch Management: ตรวจสอบและอัปเดต Firmware และ Software อย่างสม่ำเสมอ
- Backup Management: แยกข้อมูลสำรองออกจากระบบหลักและทดสอบการกู้คืน
- Monitoring: ตรวจสอบ Logs และติดตามพฤติกรรมผิดปกติของอุปกรณ์
- IT Maintenance: ตรวจสอบสถานะและประสิทธิภาพของระบบอย่างต่อเนื่อง
สำหรับองค์กรที่ไม่มีทีม IT ประจำ การมีผู้ให้บริการ IT Support หรือ IT Maintenance เข้ามาดูแลระบบ จะช่วยให้สามารถตรวจสอบช่องโหว่ วางแผนการอัปเดต และจัดการความเสี่ยงด้านความปลอดภัยได้อย่างเป็นระบบ
บทสรุป
ช่องโหว่ Plex2Shell เป็นอีกหนึ่งตัวอย่างที่แสดงให้เห็นว่าแอปพลิเคชันที่ติดตั้งบนอุปกรณ์ NAS ก็สามารถกลายเป็นช่องทางในการโจมตีระบบ IT ขององค์กรได้ โดยเฉพาะอุปกรณ์ QNAP NAS ที่ติดตั้ง Plex Media Server เวอร์ชัน 1.43.2 หรือเก่ากว่า และเปิดให้เข้าถึงจากอินเทอร์เน็ต
ผู้ดูแลระบบควรเร่งอัปเดต Plex Media Server เป็นเวอร์ชัน 1.43.3 หรือใหม่กว่า ปิดบริการและพอร์ตที่ไม่จำเป็น ตรวจสอบ Logs และจัดทำระบบสำรองข้อมูลที่แยกจากระบบหลัก
Time To Fly Technology (T2F) ให้บริการดูแลระบบคอมพิวเตอร์ (IT Outsource) สำหรับองค์กร ครอบคลุมการตรวจสอบ (Preventive Maintenance) และบำรุงรักษาระบบคอมพิวเตอร์ Server, Network, Firewall และระบบรักษาความปลอดภัยทางไซเบอร์ เพื่อช่วยให้องค์กรลดความเสี่ยงจากปัญหาด้าน IT และเพิ่มความต่อเนื่องในการดำเนินธุรกิจ
ดูรายละเอียดบริการเพิ่มเติม:
แหล่งข้อมูลอ้างอิง : ThaiCERT
