Cómo desactivar UPnP y la redirección de puertos, y por qué lo pide QNAP

MacWindowsActualizado

El aviso de QNAP sobre PHP2Shell, QSA-26-18, pide a quien tenga un NAS afectado que desactive en su router la redirección de puertos hacia el NAS y que desactive UPnP en el router. A 23 de octubre de 2026 QNAP no ha publicado versiones corregidas, y dice que mantener el aparato fuera de internet es la protección más eficaz hasta que las haya.

Respuesta rápida

UPnP permite que los aparatos de tu red se encuentren entre sí y les da control sobre ajustes como la redirección de puertos. CISA aconseja desactivar UPnP salvo que lo necesites para algo concreto. Para los NAS de QNAP, QNAP y el aviso de INCIBE-CERT sobre QNAP piden desactivar UPnP y la redirección de puertos hasta que llegue la corrección, y usar una VPN para el acceso remoto.

¿Qué hacen UPnP y la redirección de puertos?

UPnP, siglas de Universal Plug and Play, es un protocolo que permite que los aparatos de una misma red se encuentren y se comuniquen solos. El Centro Canadiense de Ciberseguridad dice que además da control sobre ajustes de red como la redirección de puertos, y que los atacantes pueden usarlo para saltarse los cortafuegos. La guía de INCIBE para ciudadanos "Tu router, tu castillo" lo presenta por su lado práctico: el servidor UPnP redirige el tráfico, abriendo las conexiones cuando hacen falta y cerrándolas cuando ya no, para que no tengas que abrir y cerrar puertos a mano.

La redirección de puertos es una regla de tu router para un aparato concreto. La misma guía de INCIBE explica que los ciberdelincuentes usan los puertos para lanzar ataques y que mantenerlos abiertos les pone las cosas más fáciles.

Los NAS de QNAP tienen además su propia función de UPnP, Auto Router Configuration en myQNAPcloud, que el aviso llama redirección de puertos por UPnP.

¿Por qué piden desactivarlos QNAP e INCIBE-CERT?

Porque todavía no hay corrección. El aviso de QNAP, publicado el 22 de octubre de 2026 y calificado como crítico, dice que los fallos de PHP podrían permitir a atacantes remotos sin autenticar ejecutar código en un aparato afectado. A 23 de octubre de 2026, todos los productos afectados figuran como "Fixing" (en corrección), con la versión corregida "To be announced" (por anunciar).

Los pasos de QNAP son desactivar en tu router la redirección de puertos hacia el NAS, desactivar UPnP en el router y desactivar la redirección de puertos por UPnP en myQNAPcloud > Auto Router Configuration, en el propio NAS. El aviso de INCIBE-CERT sobre QNAP, del 23 de octubre, lo resume así: "Retirar la exposición directa a Internet y desactivar las redirecciones de puertos y UPnP". Y añade: "Estas medidas reducen la exposición, pero no corrigen las vulnerabilidades".

Sobre la explotación, a 23 de octubre de 2026, QNAP dice que se han comunicado públicamente intentos contra PHP y que no ha recibido informes de explotación dirigida a productos de QNAP. Nuestra guía sobre NAS tiene la lista completa de productos afectados de QNAP y el resto de sus pasos.

¿Debo desactivar UPnP?

La respuesta de CISA, la agencia estadounidense de ciberseguridad, es que sí, salvo que lo necesites para algo concreto. Su página sobre seguridad de la red doméstica dice que un malware que ya esté dentro de tu red puede usar UPnP para saltarse el cortafuegos del router. Su guía sobre el wifi de casa añade que los atacantes pueden usar UPnP para propagar malware a los aparatos de tu red y controlarlos a distancia.

Hay un matiz. CISA dice que puede que necesites UPnP activado para añadir un aparato a tu red, y que después lo desactives. El Centro Canadiense de Ciberseguridad dice que algunos aparatos necesitan UPnP para funcionar bien, así que comprueba qué necesitan los tuyos antes de desactivarlo. La guía de INCIBE para ciudadanos "Tu router, tu castillo" presenta UPnP como una función útil y explica cómo activarlo, no cómo desactivarlo. El consejo de desactivarlo viene de CISA y, para los NAS de QNAP, de QNAP y del aviso de INCIBE-CERT sobre QNAP.

¿Cómo reviso UPnP y la redirección de puertos en mi router?

Los menús cambian de un router a otro. CISA remite al manual de tu router, y la guía de INCIBE avisa de que los nombres pueden variar según el modelo.

  1. Entra en la página de administración de tu router o en su app. INCIBE dice que los datos de acceso a veces vienen escritos en el propio router, y que, si no los conoces, puedes preguntar a tu proveedor de internet.
  2. Busca el ajuste de UPnP. En el router de ejemplo de INCIBE está en Configuración avanzada > Configuración de la red > UPnP. El Centro Canadiense de Ciberseguridad dice que suele estar en un apartado avanzado o en los ajustes de NAT.
  3. Desactiva UPnP y guarda.
  4. Busca la lista de redirección de puertos, que INCIBE dice que puede aparecer como NAT, Port Forwarding o Puertos, y revisa cada regla. Para cerrar un puerto, INCIBE indica seleccionarlo y hacer clic en Borrar o Eliminar, y guardar la configuración. En un NAS de QNAP, QNAP pide desactivar su redirección de puertos.
  5. Aprovecha para buscar una actualización de firmware. INCIBE explica que las vulnerabilidades del firmware del router se resuelven con parches o actualizaciones de seguridad.
  6. En un NAS de QNAP, ve también a myQNAPcloud > Auto Router Configuration y desactiva la redirección de puertos por UPnP.

¿Cómo llego a mi NAS desde fuera sin redirección de puertos?

Con una VPN. QNAP pide usar una VPN para el acceso remoto, conectándote con su QVPN Service o con la VPN de tu router en lugar de exponer directamente los puertos web. INCIBE-CERT lo recoge como "Utilizar una VPN y restringir la administración a redes de confianza". Netgate da el mismo consejo para la página de administración de pfSense: entrar solo por vías seguras, como una VPN.

El resto de los pasos de QNAP, incluido limitar los puertos de administración del NAS, está en nuestra guía sobre NAS. La actualización seguirá siendo necesaria cuando llegue.

Dónde encaja Failshot

Failshot es seguridad de dispositivo de segunda capa. Tu contraseña es la primera capa, y Failshot es la segunda: mientras está activado, hace fotos de quien desbloquea tu Mac y después, con Pro, graba un vídeo de 5 segundos, y su ventana le avisa a esa persona de que el desbloqueo se ha fotografiado.

Es para el momento en que alguien se sienta ante tu Mac y lo desbloquea.

Con Pro, activa las alertas y Failshot te envía un correo cuando hay un desbloqueo que no confirmas como tuyo, un PIN o una respuesta de Failshot incorrectos, o cuando se desactiva su acceso a la cámara mientras está activado. Para desactivarlo, o salir desde su menú, hace falta Touch ID o tu PIN y tu respuesta de Failshot, nunca la contraseña del Mac.

Failshot se descarga gratis para Mac con macOS 14 o posterior. Uso gratuito. Pro añade el vídeo, las alertas por correo y la bóveda cifrada. Prueba Failshot Pro para Mac gratis durante 7 días en failshot.app: al darte de alta se te pide la tarjeta, y el cobro llega el día 8 salvo que canceles. Las versiones para iPhone, Android y Windows llegarán pronto. La app está en inglés.

Más preguntas

¿Puedo volver a activar UPnP más adelante?

Sí. CISA dice que puede que lo necesites para añadir un aparato a tu red, y que después lo desactives otra vez.

¿Desactivo también el acceso remoto del router?

Sí, es un paso aparte de UPnP. La guía de INCIBE dice que, para evitar que se pueda entrar al router desde el exterior, hay que asegurarse de que el acceso remoto está desactivado, y CISA da el mismo consejo. Nuestra guía sobre routers lo trata junto a PHP2Shell.

¿Desactivar UPnP corrige PHP2Shell?

No. QNAP e INCIBE-CERT dicen que estas medidas reducen la exposición pero no corrigen las vulnerabilidades, y el proyecto PHP dice que solo una actualización es una solución completa. Solo hacen más difícil llegar al NAS mientras esperas.

Fuentes