Hai un NAS a casa o in ufficio, o Plex per i film? Come proteggerli dagli attacchi

«Il NAS è in casa (o in ufficio), dietro il router: da fuori non lo vede nessuno.» È vero finché nessuno apre una porta. Ma quasi sempre qualcuno l’ha aperta, per vedere le foto dal telefono o i film in vacanza. Da quel momento il NAS risponde a tutta Internet, e se non è aggiornato può rispondere anche a chi non ha la password.

Cosa ha segnalato l’UFCS?

All’UFCS sono arrivati diversi casi di programmi malevoli che colpiscono le reti di casa, entrati attraverso apparecchi raggiungibili da Internet e con falle non corrette. L’avviso è del 3 novembre 2026. Nomina PC, tablet, NAS, telecamere, riscaldamento, tapparelle e climatizzatori, e due prodotti in particolare: PHP, il linguaggio di molte pagine web, e il server multimediale Plex.

«La combinazione di vulnerabilità non corrette tempestivamente e dell’accessibilità da Internet costituisce una ricetta pericolosa.»

L’UFCS spiega il meccanismo con parole semplici. Il router di casa, nella maggior parte dei casi, tiene gli apparecchi invisibili da Internet. Poi però qualcuno vuole ascoltare la musica, mostrare le foto agli amici o guardare la telecamera quando è fuori, e apre sul router un passaggio verso un solo apparecchio: l’inoltro delle porte (in inglese port forwarding). Quel passaggio è comodo, ma è anche la porta da cui entrano i criminali, se dall’altra parte c’è un programma non aggiornato.

Cosa fanno i criminali con il mio NAS o con Plex?

Quattro cose, secondo l’UFCS: bloccano i tuoi dati per chiedere un riscatto, li rubano per ricattarti, usano l’apparecchio per produrre criptovalute a tue spese, o usano la tua connessione per nascondersi.

1. Ransomware. Il programma cifra foto e documenti e chiede un riscatto per restituirli. L’UFCS avverte che le foto e i documenti privati potrebbero non essere più recuperabili.
2. Furto di dati con ricatto. Spesso insieme al ransomware: prima copiano, poi cifrano, poi minacciano di pubblicare.
3. Cryptomining. Il tuo NAS lavora giorno e notte per produrre criptovalute per qualcun altro. La corrente la paghi tu.
4. Proxy residenziale. Estranei fanno passare il loro traffico dalla tua connessione, a tua insaputa, per nascondere da dove arrivano. Per i siti che visitano, sembrano te.

Le ultime due sono proprio quelle che Plex ha visto sui server colpiti a ottobre 2026: programmi per produrre criptovalute e programmi proxy che fanno passare il traffico di altri dalla connessione della vittima.

Plex: che cosa è successo e quale versione devo avere?

Plex Media Server va aggiornato almeno alla versione 1.43.3.10861: le versioni precedenti hanno falle che i criminali stanno sfruttando in modo diffuso. Lo scrive Plex stesso nel suo avviso di sicurezza ufficiale.

La cronologia, tutta su fonti ufficiali:

• 1 settembre 2026: Plex pubblica la versione 1.43.3 e chiede a tutti di aggiornare il prima possibile. Avverte che sui NAS l’aggiornamento può non essere ancora arrivato nel negozio di app del NAS, e che si può installare a mano dalla pagina dei download di Plex.
• 23 settembre 2026: le falle vengono pubblicate nel database americano delle vulnerabilità (NVD), con l’indicazione «prima della 1.43.3.10861».
• 16 ottobre 2026: diventa pubblica una dimostrazione di come sfruttarle.
• 19 ottobre 2026: Plex aggiorna l’avviso. Le quattro falle, messe insieme, permettono a chiunque da Internet, senza password, di far eseguire programmi al server. Da allora Plex vede attacchi diffusi contro i server raggiungibili da Internet e non aggiornati.
• 20 ottobre 2026: l’agenzia americana per la cibersicurezza (CISA) aggiunge le quattro falle al suo catalogo di quelle sfruttate davvero dai criminali (il catalogo KEV).

«If your server is older than 1.43.3.10861 and reachable from the internet, assume it may be compromised.» (Se il tuo server è più vecchio della 1.43.3.10861 e raggiungibile da Internet, considera che potrebbe essere stato compromesso.)

↗CISA, catalogo delle vulnerabilità sfruttate: CVE-2026-96652, CVE-2026-96654, CVE-2026-96655 e CVE-2026-96656, aggiunte il 20.10.2026 (in inglese)(2026-10-20) ↗NVD, CVE-2026-96656 (in inglese)(2026-09-23)

Non è la prima volta: già nel marzo 2023 la CISA aveva inserito nello stesso catalogo un’altra falla di Plex Media Server, del 2020. Un programma che apre la tua collezione di film a Internet va aggiornato come il telefono, non una volta ogni tanto.

Come vedo la mia versione: apri Plex dal browser, vai in Impostazioni, poi Generale: il numero è lì. Se è più basso di 1.43.3.10861, aggiorna adesso, dalla pagina dei download di Plex o dal negozio di app del tuo NAS. Plex ha guide per i principali marchi di NAS nello stesso avviso.

Il mio Plex o il mio NAS è già stato infettato? I segnali

Il segnale più comune è un apparecchio lento, spesso con la ventola rumorosa o sempre accesa, anche quando non lo stai usando. È l’indicazione dell’UFCS: i programmi per le criptovalute consumano molta potenza di calcolo. L’UFCS aggiunge però che spesso chi è colpito se ne accorge solo quando arriva il ricatto.

Per Plex, l’avviso ufficiale elenca segnali più precisi, da far controllare a chi sa usare il computer su cui gira:

• il processore lavora molto anche quando non stai guardando niente;
• ci sono programmi avviati da Plex che non riconosci;
• nella cartella dei codec di Plex ci sono file che non dovrebbero esserci;
• il server si collega a indirizzi sconosciuti.

Se trovi uno di questi segnali, o non puoi escluderli, Plex chiede di:

1. reinstallare il server da zero, senza riusare la vecchia cartella dei dati di Plex;
2. uscire da tutti i dispositivi dalle impostazioni dell’account Plex e cambiare la password;
3. considerare esposto tutto quello che Plex poteva raggiungere: le cartelle condivise del NAS, le password salvate sullo stesso apparecchio.

L’UFCS aggiunge che nel peggiore dei casi va reinstallato l’apparecchio e vanno controllati anche gli altri della stessa rete, da soli o con un tecnico.

Ho un piccolo sito o un’app fatta in casa: c’entra PHP?

Forse sì, anche se non lo sai. L’UFCS ricorda che PHP è usato spesso anche nei servizi che girano nella rete di casa, e che non sempre si vede che un programma lo usa. Il 21 ottobre 2026 l’UFCS ha emesso un’allerta su due falle critiche di PHP, che permettono di eseguire programmi su un server senza password.

Le versioni corrette indicate dall’UFCS sono 8.5.12, 8.4.27, 8.3.36 e 8.2.35. Le versioni più vecchie vanno aggiornate a una versione ancora supportata.

↗UFCS, vulnerabilità critiche in PHP: installate immediatamente gli aggiornamenti(2026-10-21)

Dove può nascondersi PHP a casa o in ufficio:

• un sito fatto in casa (del club, della famiglia, della tua attività) che gira sul NAS o su un vecchio computer;
• le app del NAS con una pagina web, per foto, documenti o calendario;
• il pannello di amministrazione del NAS o di altri apparecchi, dove PHP è chiuso dentro il programma interno e lo aggiorna solo il produttore.

Il nostro consiglio: un sito fatto in casa non dovrebbe stare sulla stessa rete delle foto di famiglia. Se deve restare online, spostalo da un fornitore di hosting che aggiorna PHP per te. Come fare l’inventario di dove gira PHP è spiegato nell’articolo PHP2Shell non riguarda solo WordPress.

Come vedo foto e film da fuori casa senza rischi?

Con una VPN, un collegamento protetto fra il tuo telefono e la rete di casa: il NAS e Plex restano invisibili da Internet e li vedi solo tu, come se fossi sul divano. È la strada che raccomando da anni ai miei clienti, ed è anche quella che l’UFCS «raccomanda in particolare». La VPN permette di entrare nella rete di casa con un accesso protetto e cifrato, senza esporre direttamente i servizi.

Molti router e molti NAS sanno già fare da VPN. L’UFCS cita tre sistemi diffusi: IPsec, OpenVPN e WireGuard. Quando è possibile, anche la VPN va protetta con la verifica in due passaggi.

Plex, nel suo avviso, dà la stessa indicazione dal suo lato: se non ti serve l’accesso remoto, spegnilo (Impostazioni, poi Accesso remoto), ed evita di inoltrare direttamente sul router la porta di Plex, la 32400.

Il nostro consiglio: nessuna porta aperta sul router verso il NAS o Plex. Se ce n’è una e non sai chi l’ha messa, chiedi al tuo fornitore di Internet o a chi ha installato il NAS di sostituirla con una VPN. Come trovare le porte aperte nel router è spiegato nella guida Casa intelligente.

Se proprio deve restare aperto: le difese dell’UFCS

Se un servizio deve restare raggiungibile da Internet, l’UFCS chiede cinque difese insieme. Valgono per il NAS, per Plex e per il server dell’ufficio.

1. Aggiornamenti sempre installati, su tutti gli apparecchi della rete. Il nostro consiglio: se il NAS lo permette, attiva gli aggiornamenti automatici.
2. Password di almeno 12 caratteri per ogni servizio esposto, con lettere maiuscole e minuscole, cifre e caratteri speciali. Il nostro consiglio: una per servizio, che non usi altrove.
3. Una rete separata. I servizi visibili da fuori non dovrebbero stare nella stessa parte della rete degli altri apparecchi di casa. Alcuni router lo permettono con una funzione chiamata «DMZ» (zona demilitarizzata).
4. Accesso solo da alcuni Paesi. Con il cosiddetto geofencing il servizio accetta collegamenti solo, per esempio, dalla Svizzera. E dopo un certo numero di password sbagliate l’accesso si blocca.
5. Verifica in due passaggi sui servizi esposti, quando è disponibile.

Se non sei sicuro di come è messa la tua rete, l’UFCS suggerisce di chiedere a un conoscente esperto o a un’azienda specializzata. Non è una sconfitta: è il controllo più economico che puoi fare.

Il NAS è il mio backup: basta?

No: un NAS raggiungibile dal ransomware viene cifrato insieme alle foto che contiene. È l’unica copia? Allora non è un backup. L’UFCS lo dice chiaramente: se un ransomware entra, foto e documenti potrebbero non essere più recuperabili.

Il nostro consiglio, che è la regola di questo sito:

• una copia sul tuo computer, fatta come un rituale, per esempio la prima domenica del mese;
• una terza copia su un disco esterno, cifrato, che tieni fuori casa (in ufficio, da un familiare) e che colleghi solo per aggiornarlo;
• mai la sola copia su Internet: i dati devono restare tuoi, su apparecchi tuoi.

Come organizzarlo e come provare che il ripristino funziona davvero è spiegato nell’articolo Backup che funziona davvero: la regola 3-2-1 e la prova di ripristino. Cosa fare se il ransomware è già entrato è nella guida Ransomware.

Hai un’attività? Il NAS dell’ufficio

In ufficio il NAS tiene spesso fatture, contratti e documenti dei clienti: se viene cifrato o copiato, il danno non è solo tuo. E di solito l’ha installato qualcuno anni fa, ha l’accesso da fuori aperto per chi lavora da casa e nessuno sa più quando è stato aggiornato.

Tre domande da fare oggi a chi lo gestisce, e da farsi mettere per iscritto (il nostro consiglio):

1. Ci sono porte aperte sul router verso il NAS? Se sì, chi lavora da fuori deve passare da una VPN con la verifica in due passaggi, non da una porta aperta.
2. Quando è stato aggiornato l’ultima volta, e chi se ne occupa? «Si aggiorna da solo» va verificato, non creduto.
3. Dov’è la copia scollegata? Una copia dei dati dell’ufficio deve stare su un disco cifrato, fuori ufficio, collegato solo per aggiornarla.

Se i dati dei clienti vengono copiati o resi inaccessibili, possono scattare obblighi di legge. In Svizzera, con la legge sulla protezione dei dati del 2020 in vigore dal 2023, chi tratta i dati deve notificare quanto prima all’IFPDT una violazione che comporta verosimilmente un rischio elevato per le persone, e in certi casi avvisare i clienti. In Italia, con il GDPR, la notifica al Garante va fatta entro 72 ore da quando te ne accorgi, salvo che il rischio per le persone sia improbabile; e le violazioni vanno comunque annotate in un registro. In tutti e due i paesi c’è un portale online per la notifica. Il nostro consiglio: se succede, fatti aiutare subito da chi segue la tua informatica e da un consulente, perché la valutazione del rischio spetta a te.

↗IFPDT, linee guida sulla notifica di violazioni della sicurezza dei dati(2026-11-04) ↗Garante per la protezione dei dati personali, Data breach: violazioni di dati personali(2026-11-04)

Penso che il mio NAS sia stato colpito: cosa faccio?

Stacca il NAS dalla rete, non pagare, e chiedi aiuto prima di toccare altro. I passi qui sotto uniscono le indicazioni dell’UFCS e di Plex con il nostro consiglio; perché il riscatto non è una soluzione lo spiega la guida Ransomware.

1. Stacca il cavo di rete del NAS o del computer con Plex. Il nostro consiglio: non spegnerlo subito, così un tecnico può ancora capire cosa è successo.
2. Chiudi le porte aperte sul router verso quell’apparecchio.
3. Cambia le password dell’account Plex, del NAS e di tutti i servizi le cui password erano salvate lì, da un altro apparecchio pulito.
4. Fai controllare anche gli altri apparecchi della rete, come chiede l’UFCS.
5. Reinstalla da zero il NAS o Plex prima di rimetterli in rete, e ripristina le foto dalla copia scollegata.
6. Segnala: in Svizzera all’UFCS su report.ncsc.admin.ch e, se c’è un ricatto, alla polizia cantonale. In Italia alla Polizia Postale.

Domande frequenti

▸ Uso Plex solo in casa, sulla TV del salotto: devo aggiornarlo lo stesso?

Sì. Il rischio più grande, secondo Plex, riguarda i server raggiungibili da Internet, ma un apparecchio non aggiornato resta un punto debole anche dentro casa: basta che un altro dispositivo della rete venga infettato. Aggiorna almeno alla 1.43.3.10861 e, se non usi l'accesso da fuori, spegnilo nelle impostazioni, alla voce Accesso remoto. È un controllo di cinque minuti.

▸ Come faccio a sapere se il mio NAS è raggiungibile da Internet?

Guarda nel router se ci sono regole di inoltro delle porte verso il NAS, e nelle impostazioni del NAS se è attivo un servizio di accesso remoto del produttore. Se non sai entrare nel router, chiama il tuo fornitore di Internet e fatti guidare. Se trovi una regola che non sai a cosa serve, chiedi a chi ha installato il NAS prima di cancellarla, poi sostituiscila con una VPN.

▸ La ventola del mio NAS gira sempre: vuol dire che è infetto?

Non per forza: un NAS può lavorare anche per indicizzare le foto o fare un controllo dei dischi. Ma l'UFCS indica proprio il rallentamento con la ventola rumorosa o sempre accesa come possibile segnale di un programma che produce criptovalute. Se succede anche di notte, quando nessuno lo usa, e non trovi un'operazione in corso, staccalo dalla rete e fallo controllare.

▸ Se il ransomware blocca il NAS, perdo tutte le foto?

Se il NAS era l'unica copia, potresti perderle: l'UFCS avverte che foto e documenti potrebbero non essere più recuperabili. Per questo serve una copia sul tuo computer, aggiornata come un rituale una volta al mese, e una terza su un disco esterno cifrato tenuto fuori casa e collegato solo per aggiornarlo, mai soltanto su Internet.

Apri Plex dal browser stasera e guarda il numero di versione: ci vuole meno di un minuto. Chi cerca server non aggiornati non manda un preavviso, e Plex scrive che li sta già trovando.