Plex2Shell היא שרשרת של ארבע חולשות ב-Plex Media Server, שנחשפו ב-16 באוקטובר וזמן קצר לאחר מכן החלו לנצל אותן. CISA הוסיפה את כולן לקטלוג החולשות המנוצלות ב-20 באוקטובר. QNAP מסרה שקיבלה דיווחים מכמה משתמשים על פריצה ל-Plex שרץ על התקני ה-NAS שלהם, ושהחולשות נמצאות רק ב-Plex, לא במערכות ההפעלה QTS ו-QuTS hero.
לפי BleepingComputer, עדכון ל-Plex 1.43.3.10861 דרך ה-App Center של QNAP חוסם את החולשות, אבל לא מסיר רכיבים זדוניים שכבר הותקנו. מי שהשרת שלו היה חשוף צריך לבדוק סימני פריצה לפי ההודעה של QNAP, להתקין מחדש את מערכת ההפעלה ולאפס את הסיסמאות של Plex ושל ה-NAS.
מי שלא צריך גישה מרחוק ל-Plex מתבקש לכבות אותה ולהפסיק את הפניית פורט 32400; מי שצריך, מומלץ להתחבר דרך VPN. QNAP פרסמה מדריך תיקון מפורט ומציעה לבדוק לוגים מהתקנים חשודים דרך התמיכה.