Sicherheitslage NAS: aktuelle Warnungen der Hersteller

Welche Sicherheitslücken betreffen NAS und Homeserver gerade? Hier stehen die wichtigsten Hinweise der Hersteller aus den letzten 90 Tagen mit betroffenen und behobenen Versionen, dazu ältere Lücken, die gerade angegriffen werden. Jede Zeile führt zum Original.

Stand 12. November 2026 · wird wöchentlich geprüft · Redaktion Homeserver-Wegweiser

Kurz gesagt

Jetzt prüfen: 9 der 13 Einträge werden laut Quelle ausgenutzt. Laut Synology greifen Angreifer NAS mit veralteter DSM-Version an. Plex Media Server vor 1.43.3.10861 wird laut Plex breit angegriffen, vor allem Server, die aus dem Internet erreichbar sind.
Was hilft: Updates von Betriebssystem und Apps einspielen, die Verwaltung nicht direkt ins Internet stellen und ein Backup getrennt vom NAS halten. Die Prüfliste unten führt dich durch.
Grenzen: Wir zeigen Herstellerangaben und beraten nicht im Einzelfall. Ob dein Gerät betroffen ist, entscheidet die genaue Version im Original-Advisory.

Stand 12.11.2026 · Herstellerangaben, keine eigenen Tests.

NAS-Hersteller

Synology, QNAP und Asustor veröffentlichen Listen mit Sicherheitshinweisen. Ausgenutzte Lücken stehen oben, angegriffene Altlasten ganz oben, danach die neuesten. „Ausgenutzt“ heißt: Der Hersteller, Plex oder eine Behörde wie die US-Cybersicherheitsbehörde CISA meldet Angriffe. Die Quelle steht in derselben Zeile.

Sicherheitshinweise der NAS-Hersteller · Angaben laut Original-Advisory, Stand 12.11.2026
Hersteller, Produkt und Quelle	Ausgenutzt laut Quelle	Veröffentlicht	Schweregrad laut Hersteller	Betroffen	Behoben ab
Synology: DSM Altlast, wird angegriffenAltlast von 2024: Lücke in DSM, mit der Angreifer aus der Ferne Code ausführen können (PWN2OWN 2024). Synology meldet am 29.10.2026 Angriffe auf Geräte mit veralteten DSM-Versionen, die Daten verschlüsseln und Lösegeld fordern sollen.Original: Synology-SA-24:20 · gelesen 12.11.2026	jaSynology meldet am 29.10.2026 Angriffe auf veraltete DSM-Versionen über eine im Dezember 2024 behobene Lücke und verweist auf dieses Advisory. HKCERT warnt am 02.11.2026. Synology, Pressemitteilung 29.10.2026 · HKCERT, Warnung 02.11.2026	05.11.2024aktualisiert 28.03.2025	kritisch„Critical“, CVSS 9,8	DSM 6.2 bis 7.2.2 vor den genannten Versionen	DSM 7.2.2: 7.2.2-72806-1 DSM 7.2.1: 7.2.1-69057-6 DSM 7.2: 7.2-64570-4 DSM 7.1: 7.1.1-42962-7 DSM 6.2: 6.2.4-25556-8
Asustor: Plex Media Server (App)Plex2Shell in Plex Media Server auf Asustor-NAS.Original: AS-2026-024 · gelesen 12.11.2026	jaAsustor verweist auf den Katalog der CISA, der die Plex-Lücken seit 20.10.2026 als ausgenutzt führt. CISA, Known Exploited Vulnerabilities Catalog	09.11.2026	wichtig„Important“	Plex Media Server unter ADM 4.1 bis 5.1 vor der genannten Version	Plex Media Server 1.43.3.10861
Synology: Plex Media Server (Paket)Plex2Shell im Plex-Paket für DSM: verkettete Lücken in Plex Media Server.Original: Synology-SA-26:17 · gelesen 12.11.2026	jaPlex meldet am 19.10.2026 breite Angriffe auf nicht aktualisierte Server; die CISA führt die vier Plex-Lücken seit 20.10.2026 als ausgenutzt. Plex, Sicherheitshinweis · CISA, Known Exploited Vulnerabilities Catalog	08.11.2026	wichtig„Important“	Plex Media Server für DSM 7.2.1 bis 7.4 vor den genannten Versionen	DSM 7.3 und 7.4: 1.43.5.11079-720011079 DSM 7.2.1 und 7.2.2: 1.43.5.11079-700011079
QNAP: Plex Media Server (App)Plex2Shell in Plex Media Server auf QNAP-NAS. QTS und QuTS hero selbst sind laut QNAP nicht betroffen.Original: QNAP Security Notice Plex2Shell · gelesen 12.11.2026	jaQNAP liegen Berichte vor, dass Plex auf einzelnen NAS kompromittiert wurde; laut QNAP-Support gab es keinen Datenverlust. Plex selbst meldet breite Angriffe. QNAP, Sicherheitshinweis 06.11.2026 · Plex, Sicherheitshinweis	06.11.2026	nicht angegeben	Plex Media Server 1.43.2 und älter	Plex Media Server 1.43.3.10861
Synology: PHP und PHP-PaketePHP2Shell: Lücken in PHP, über die Angreifer aus der Ferne Code ausführen können. Betroffen sind PHP-Pakete wie Web Station, WordPress, Calendar und Mail Station, nicht Synology Drive.Original: Synology-SA-26:14 · Synology, Pressemitteilung zu PHP2Shell (betroffene Pakete) · gelesen 12.11.2026	jaDie CISA führt die beiden PHP-Lücken seit 26.10.2026 als ausgenutzt. Synology nennt keine Angriffe auf DSM-Pakete und schätzt das Risiko für das in DSM eingebaute PHP als sehr gering ein, weil es nicht von außen erreichbar sei. CISA, Known Exploited Vulnerabilities Catalog	22.10.2026aktualisiert 31.10.2026	kritisch„Critical“, CVSS 9,8	PHP 7.3 bis 8.4, Synology Calendar und Mail Station vor den genannten Versionen	PHP 8.4: 8.4.27-0051 PHP 8.3: 8.3.36-0051 PHP 8.2: 8.2.35-0171 PHP 8.1: 8.1.34-0120 PHP 8.0 und 7.4 sowie Calendar und Mail Station: Build-Nummer je DSM-Version laut AdvisoryPHP 7.3: kein Update, Supportende
QNAP: QTS und QuTS heroPHP2Shell: Lücken in PHP, über die Angreifer ohne Anmeldung Code ausführen können.Original: QSA-26-18 · gelesen 12.11.2026	jaDie CISA führt die PHP-Lücken seit 26.10.2026 als ausgenutzt. QNAP schreibt, Angriffe gezielt auf QNAP-Produkte seien ihm nicht gemeldet worden. CISA, Known Exploited Vulnerabilities Catalog	22.10.2026aktualisiert 28.10.2026	kritisch„Critical“	QTS 5.2.11 und älter, QTS 6.1.0, QuTS hero h5.2.11 und älter bis h6.1.0, QuTScloud und einzelne Apps	QTS 6.1.0: 6.1.0.3656 build 20261023 QTS 5.2: 5.2.11.3661 build 20261023 QuTS hero h6.1.0: h6.1.0.3656 build 20261023 QuTS hero h6.0 und h5.3: h6.0.2.3656 build 20261023 QuTS hero h5.2: h5.2.11.3661 build 20261023 QuTScloud: c5.2.9.3661 build 20261023 Notes Station 3: 3.9.15
Asustor: PHPPHP2Shell: Lücken in PHP, über die Angreifer ohne Anmeldung Code ausführen können.Original: AS-2026-023 · gelesen 12.11.2026	jaDie CISA führt die PHP-Lücken seit 26.10.2026 als ausgenutzt. Asustor nennt keine Angriffe auf eigene Geräte. CISA, Known Exploited Vulnerabilities Catalog	22.10.2026aktualisiert 23.10.2026	kritisch„Critical“	PHP unter ADM 3.5 bis 5.1	ADM 5.0 und 5.1: PHP 8.3.36.r124 oder PHP 8.4.27.r106 ADM 4.1 bis 4.3: PHP 8.3.36.r3ADM 3.5 und 4.0: kein Update; Asustor rät, den Webserver abzuschalten und alte PHP-Versionen zu entfernen
Synology: DSMMehrere Lücken in DSM, darunter eine SQL-Injection in der Anmelde-Schnittstelle, über die Angreifer aus der Ferne Dateien lesen oder schreiben können.Original: Synology-SA-26:19 · gelesen 12.11.2026	nicht gemeldetDas Advisory nennt keine Angriffe.	10.11.2026	kritisch„Critical“, CVSS 9,8	DSM 7.2.1, 7.2.2, 7.3 und 7.4 vor den genannten Versionen	DSM 7.4: 7.4.1-90080-1 DSM 7.3: 7.3.2-86009-5 DSM 7.2.2: 7.2.2-72806-10 DSM 7.2.1: 7.2.1-69057-13
Synology: DSMWeitere Lücken in DSM, über die Angreifer Dateien lesen oder schreiben oder das System stören können, teils ohne Anmeldung.Original: Synology-SA-26:18 · gelesen 12.11.2026	nicht gemeldetDas Advisory nennt keine Angriffe.	10.11.2026	wichtig„Important“	DSM 7.3 und 7.4 vor den genannten Versionen	DSM 7.4: 7.4.1-90080-1 DSM 7.3: 7.3.2-86009-5
Asustor: ADMLücke in ADM, über die Angreifer ohne Anmeldung beliebige Dateien lesen können.Original: AS-2026-022 · gelesen 12.11.2026	nicht gemeldetDas Advisory nennt keine Angriffe.	06.10.2026aktualisiert 07.10.2026	wichtig„Important“, CVSS 9,2 (CVSS 4.0, im CVE-Eintrag als kritisch eingestuft)	ADM 4.1.0 bis 4.3.3.RWC1 und 5.0.0 bis 5.1.4.RL21	ADM 5.0 und 5.1: 5.1.4.RM62 ADM 4.1 bis 4.3: 4.3.3.RY62
Synology: DSMMehrere Lücken in DSM, zwei davon kritisch: Angreifer können ohne Anmeldung Dateien lesen oder schreiben.Original: Synology-SA-26:13 · gelesen 12.11.2026	nicht gemeldetDas Advisory nennt keine Angriffe.	18.09.2026	kritisch„Critical“, CVSS 9,8	DSM 7.2.1, 7.2.2, 7.3 und 7.4 vor den genannten Versionen	DSM 7.4: 7.4-90075 DSM 7.3: 7.3.2-86009-4 DSM 7.2.2: 7.2.2-72806-9 DSM 7.2.1: 7.2.1-69057-12

Ohne Eintrag in diesem Zeitraum: UGREEN (geprüft 12.11.2026). Wir haben keine öffentliche Liste mit Sicherheitshinweisen des Herstellers gefunden. Prüfe Updates direkt in UGOS Pro. TerraMaster (geprüft 12.11.2026). TerraMaster veröffentlicht Updates und Sicherheitsmeldungen im Herstellerforum. Das Forum war für uns am 12.11.2026 nicht abrufbar; einen Eintrag nehmen wir erst nach Lesen des Originals auf.

Homeserver-Software

Plex, Proxmox VE und Home Assistant laufen auf NAS, Mini-PC oder eigener Hardware. Ihre Lücken betreffen dich unabhängig vom Gerät.

Sicherheitshinweise zu Homeserver-Software · Angaben laut Original-Advisory, Stand 12.11.2026
Hersteller, Produkt und Quelle	Ausgenutzt laut Quelle	Veröffentlicht	Schweregrad laut Hersteller	Betroffen	Behoben ab
Plex: Plex Media ServerPlex2Shell: vier verkettete Lücken, über die Angreifer Code auf dem Server ausführen können. Plex-Pakete auf NAS sind ebenso betroffen (siehe Synology, QNAP und Asustor).Original: Plex: Important Security Update (v1.43.2 und älter) · gelesen 12.11.2026	jaPlex meldet am 19.10.2026 breite Angriffe, teils mit Krypto-Minern und Proxy-Software. Plex rät: War ein alter Server aus dem Internet erreichbar, ihn als möglicherweise kompromittiert behandeln. Plex, Sicherheitshinweis · CISA, Known Exploited Vulnerabilities Catalog	01.09.2026aktualisiert 19.10.2026	nicht angegeben	Plex Media Server 1.43.2 und älter	Plex Media Server 1.43.3.10861
Proxmox VE: Proxmox VE 7 (Supportende)Anmeldung ohne Passwort über die Programmierschnittstelle in alten Proxmox-VE-Versionen, auch als root, wenn kein zweiter Faktor eingerichtet ist.Original: PSA-2026-00043-1 · gelesen 12.11.2026	jaProxmox schreibt, die Meldungen berichteten auch von Ausnutzung in freier Wildbahn. Proxmox, PSA-2026-00043-1	01.09.2026	nicht angegeben	libpve-access-control 7.0-7 bis vor 8.0.4 (etwa Proxmox VE 7.0 bis 7.4 und die erste 8.0)	libpve-access-control 8.0.4 (in jeder unterstützten Proxmox-VE-Version enthalten)

Ohne Eintrag in diesem Zeitraum: Home Assistant (geprüft 12.11.2026). Die Hinweise der letzten 90 Tage sind als „Moderate“ eingestuft oder nennen weder Angriffe noch eine Ausnutzung ohne Anmeldung.

So prüfst du dein NAS

Version ablesen: Notiere die Version von Betriebssystem und Apps. Bei QNAP findest du Version und Update unter Control Panel › System › Firmware Update (QNAP, QSA-26-18), bei Plex in Plex Web unter Einstellungen › Allgemein (Plex).
Mit der Tabelle vergleichen: Liegt deine Version unter „Behoben ab“, spiel das Update des Herstellers ein. Pakete und Apps aktualisierst du getrennt vom Betriebssystem, bei Synology im Paket-Zentrum (Synology, PHP2Shell).
Automatische Updates einschalten: Synology empfiehlt, automatische Updates zu aktivieren, damit DSM aktuell bleibt (Synology, Pressemitteilung 29.10.2026).
Verwaltung nicht ins Internet stellen: Mach die Verwaltungsoberfläche nicht direkt aus dem Internet erreichbar, schalte Portweiterleitungen und UPnP ab, die du nicht brauchst, und nutze für den Fernzugriff ein VPN (QNAP, QSA-26-18; HKCERT).
Unnötige Apps abschalten: Stoppe Apps, die du nicht nutzt, und den Webserver, wenn keine Website darauf läuft (QNAP, QSA-26-18).
Plex-Fernzugriff prüfen: Brauchst du keinen Zugriff von unterwegs, schalte in Plex den Fernzugriff ab und leite Port 32400 nicht weiter. War ein Server mit 1.43.2 oder älter aus dem Internet erreichbar, rät Plex, ihn als möglicherweise kompromittiert zu behandeln, nach Spuren zu suchen und ihn im Zweifel neu aufzusetzen (Plex; QNAP).
Backup getrennt halten: Halte ein Backup offline oder unveränderbar und teste die Wiederherstellung (so geht es: NAS-Backup nach 3-2-1). Ein Update entschlüsselt keine Dateien, die bereits verschlüsselt wurden (HKCERT).
Altgeräte ehrlich bewerten: Bekommt dein Gerät keine unterstützte Version mehr, kann laut HKCERT ein Austausch nötig sein. Für DSM-Versionen vor 6.2 rät Synology, die von PHP2Shell betroffenen Pakete vorübergehend abzuschalten und auf eine unterstützte DSM-Version zu wechseln (Synology, PHP2Shell).
Bei Verdacht: Trenne das Gerät vom Netz, halte Synchronisations- und Backup-Aufträge an, ändere alle Passwörter von einem sauberen Gerät aus und wende dich an den Support des Herstellers (QNAP, QSA-26-18; HKCERT).

So liest du die Tabellen

Den Schweregrad vergibt jeder Hersteller selbst, mit eigenen Stufen. Ein „Important“ bei Synology ist deshalb nicht dasselbe wie „High“ bei Home Assistant. Manche Hinweise, etwa von Plex und Proxmox, nennen keinen Schweregrad; dort steht „nicht angegeben“. Unsere Einschätzung: Wichtiger als die Stufe sind zwei Fragen – wird die Lücke ausgenutzt, und ist dein Gerät aus dem Internet erreichbar?

Welche Hinweise wir aufnehmen

Wir nehmen Hinweise aus den letzten 90 Tagen auf, die laut Quelle ausgenutzt werden, oder die der Hersteller als kritisch, wichtig oder hoch einstuft und die laut Hersteller ohne Anmeldung über das Netz ausnutzbar sind. Ältere Lücken bleiben drin, solange sie laut Hersteller oder Behörde gerade angegriffen werden. Lücken, die eine Anmeldung, einen präparierten Link oder eine präparierte Datei voraussetzen, und Lücken in reinen Business-Produkten lassen wir weg, solange keine Angriffe gemeldet sind. Jeden Eintrag lesen wir im Original und vermerken das Datum. Die Tabelle ersetzt nicht die Hinweise in der Verwaltungsoberfläche deines Geräts.