Plexのサーバーが攻撃の標的に。「Plex2Shell」でNASや自宅PCが乗っ取られる？確認と更新のしかた
動画や音楽を家の外からも楽しめる「Plex」のサーバーソフトに脆弱性があり、「Plex2Shell」と呼ばれる攻撃で実際に乗っ取りが起きています。自分が関係あるかの見分け方、バージョンの確認と更新のしかた（NAS・Linux・Dockerは要注意）、乗っ取られた跡の調べ方をまとめました。
家にある動画や音楽を、外出先のスマホやテレビで見られるようにする「Plex（プレックス）」。その中心になるソフト「Plex Media Server」の脆弱性が、実際の攻撃に使われていることがわかりました。弱点を組み合わせた攻撃は「Plex2Shell」と呼ばれています。
乗っ取られたサーバーでは、仮想通貨を掘るソフトや、他人の通信を中継させるソフトが動かされていました。日本語の情報はまだ少ないものの、NASや自宅のパソコンでPlexを動かしている人には、すぐ確認してほしい話です。
この記事のポイント
- 対象は Plex Media Server の 1.43.3.10861 より前のバージョン。修正版は9月から出ている
- インターネットから入れる状態のサーバーなら、ログインなしで乗っ取られるおそれがある
- 自動で更新されるのは Windows と Mac が中心。NAS・Linux・Docker の人は手動で更新が必要なことが多い
Plexって何？自分は関係ある？
Plexは、自分のパソコンやNASに保存した動画・音楽・写真を、ほかの機器から再生できるようにするサービスです。「サーバー」の役をするのが Plex Media Server で、再生する側のアプリとは別のソフトです。
| 使い方 | 関係するか |
|---|---|
| 自宅のパソコンやNASに Plex Media Server を入れている | 関係する（この記事の手順へ） |
| 友だちや家族のPlexサーバーを見せてもらっているだけ | サーバーの持ち主が更新する必要あり。持ち主に知らせてあげると親切 |
| Plexの無料の映画・テレビ配信を見ているだけ | 今回のサーバーの話とは直接は関係しない |
なおPlexは、パソコン用の再生アプリ「Plex Desktop」も同じ時期に更新（1.115.0）しています。使っている人は、あわせて最新版にしておきましょう。
何が起きているの？
Plexの公式フォーラムの発表によると、経緯は次のとおりです。
| 日付 | 出来事 |
|---|---|
| 9月1日 | Plexが、セキュリティの修正を含む新しいバージョンを公開し、更新を呼びかけ |
| 10月16日 | 攻撃の方法を試せるコード（PoC）がネットに公開される |
| 10月19日 | Plexが、実際の攻撃が広がっていると公表し、くわしい内容を追記 |
| 10月20日ごろ | アメリカの政府機関CISAが、悪用が確認された脆弱性の一覧に4件を追加 |
修正版は9月から出ていたのに、攻撃のコードが公開されたとたんに攻撃が広がった、という流れです。更新を後回しにしていたサーバーが狙われています。
4つの弱点をつなげて乗っ取る
今回の弱点は4つあり、ひとつひとつは「それだけでは乗っ取れない」ものです。ところが、順番につなげると、ログインしていない攻撃者がサーバーで好きなプログラムを動かせてしまう、というのが問題です。
| 番号 | どんな弱点か（ざっくり） |
|---|---|
| CVE-2026-96652 | ログインなしで、サーバーに別の場所へ通信させられる |
| CVE-2026-96654 | 本来は中からしか使えない機能に、外から手が届く |
| CVE-2026-96655 | サーバーの持ち主の「管理者の合い言葉（トークン）」がもれる |
| CVE-2026-96656 | 動画の変換の設定を使って、プログラムを置かれる |
乗っ取られると何をされる？
Plexによると、乗っ取られたサーバーでは、次のようなソフトが動かされていました。
- 仮想通貨を掘るソフト：あなたのパソコンやNASの力を勝手に使う。動作が重くなり、電気代も増える
- 通信を中継させるソフト：他人のネットの通信が、あなたの家の回線を通って外に出ていく。悪いことに使われれば、あなたの回線が疑われるおそれもある
さらにPlexは、乗っ取られていた場合、Plexが読めるフォルダや、同じ機器に保存されたパスワードなども、もれた可能性があると考えてほしいとしています。
今すぐやること
1. バージョンを確認して、更新する
Plexの管理画面（Plex Web）で「設定 → 全般」を開くと、バージョンが表示されます。1.43.3.10861 以上なら修正済みです。「1.43.3」でも、後ろの番号が10861より小さいと直っていないので、最後の数字まで確認してください。
| 動かしている場所 | 更新のしかた |
|---|---|
| Windows・Mac | 自動更新がオンなら更新済みのはず。念のためバージョンを確認。古ければ公式サイトのダウンロードページから |
| NAS（Synology・QNAPなど） | NASのアプリの一覧にまだ新しい版が来ていないことがある。その場合は公式サイトから機種に合うものを入れる |
| Linux | 公式サイトから自分の環境用のファイルを入れる |
| Docker | 公式のイメージの案内に従って新しくする |
| NVIDIA Shield | Google Playで更新を入れる |
NASで動かしている人は特に注意です。「NASは自動で更新されるはず」と思いこみがちですが、Plexは今回、NASのアプリの一覧に新しい版が届いていない場合があるとしています。
2. 乗っ取られた跡がないか確認する
Plexは、古いバージョンのままネットから入れる状態だったサーバーは、乗っ取られているかもしれないと考えてほしいとしています。次のようなことがないか、見てみましょう。
- 何も再生していないのに、パソコンやNASがずっと重い（CPUの使用率が高いまま）
- Plexのフォルダの中の「Codecs」フォルダに、見覚えのないファイル（.so や .dll）がある
- 見覚えのないプログラム（Plexの発表では myawesomeproxy・mylovelyminer・x12345 という名前の例）が動いている
3. 跡が見つかったら
- 古いデータを使い回さず、Plex Media Server を入れ直す（最低でも Codecs フォルダの中身を消す）
- Plexのアカウントですべての機器からサインアウトし、Plexのパスワードを変える
- 同じ機器に保存していたほかのパスワードも、念のため変える
4. 外から使わないなら、リモートアクセスを切る
家の中でしか見ないなら、「設定 → リモートアクセス」で外からの接続をオフにしておくのが安心です。ルーターで「32400」番の通り道（ポート）を開けている人は、必要がなければ閉じましょう。外からも見たい人は、少なくとも最新版に保つことが前提になります。
「家のサーバー」は自分で守るもの
Plexに限らず、NAS・見守りカメラ・スマート家電など、家の中にあってネットにつながる機器は、更新を忘れると狙われやすくなります。家の機器を守るコツは、「AIが家電を乗っ取る？スマート家電・見守りカメラを守る7つの対策」でもまとめています。
このブログの考え方
今回、修正版は攻撃が広がる1か月半前から出ていました。それでも被害が出たのは、「家のサーバーの更新」が、どうしても後回しになりやすいからだと思います。
自分で動かしているサーバーは、「サービスを使う人」と「サーバーを管理する人」のあいだに立っているということです。便利さを自分の手に取り戻したぶん、更新という小さな責任も一緒に引き受けている、と考えておきたいところです。
まとめ
- Plex Media Server の脆弱性4件をつなげた攻撃「Plex2Shell」が、実際に使われている
- 1.43.3.10861 より前で、ネットから入れるサーバーは、ログインなしで乗っ取られるおそれがある
- 乗っ取られると、仮想通貨を掘るソフトや通信を中継させるソフトを動かされる
- 「設定 → 全般」でバージョンを確認し、最新版に。NAS・Linux・Docker は手動の更新が必要なことが多い
- 外から使わないなら、リモートアクセスはオフに
参考資料
- Important security update for Plex Media Server v1.43.2 and earlier（Plex 公式フォーラム、2026年9月1日・10月19日更新）
- Known Exploited Vulnerabilities Catalog（CISA）
※ 記事の内容は、2026年10月24日時点の情報をもとにしています。
