Désactiver l'UPnP et la redirection de ports, et pourquoi QNAP le demande

MacWindowsMis à jour

L'avis PHP2Shell de QNAP, QSA-26-18, demande aux propriétaires de NAS concernés de désactiver la redirection de ports vers le NAS sur leur routeur, et de désactiver l'UPnP sur le routeur. Au 23 octobre 2026, QNAP n'a publié aucune version corrigée, et il indique que garder l'appareil hors d'internet est la protection la plus efficace en attendant.

Réponse rapide

L'UPnP permet aux appareils de votre réseau de se trouver entre eux et peut modifier des réglages comme la redirection de ports. Le Centre canadien pour la cybersécurité juge que le désactiver complètement est la protection la plus efficace contre les attaques liées à l'UPnP. Pour les NAS QNAP, QNAP demande de couper l'UPnP et la redirection de ports jusqu'à un correctif, et d'utiliser un VPN pour l'accès à distance.

À quoi servent l'UPnP et la redirection de ports ?

L'UPnP, pour Universal Plug and Play, est un protocole qui permet aux appareils d'un même réseau de se découvrir et de communiquer automatiquement. Le Centre canadien pour la cybersécurité précise qu'il peut aussi modifier des paramètres réseau comme la redirection de port, dont des auteurs de menace peuvent tirer avantage pour contourner les pare-feu.

La redirection de ports est une règle sur votre box ou votre routeur pour un appareil précis. L'avis de QNAP range sa désactivation dans le fait de garder le NAS hors d'internet, et propose un VPN pour joindre le NAS au lieu d'exposer directement ses ports web.

Les NAS QNAP ont aussi leur propre fonction UPnP, Auto Router Configuration dans myQNAPcloud, que l'avis appelle redirection de ports UPnP.

Pourquoi l'avis de QNAP demande-t-il de les couper ?

Parce qu'il n'y a pas encore de correctif. QNAP indique qu'en attendant les versions corrigées, la protection la plus efficace est de garder l'appareil hors d'internet. Son avis, publié le 22 octobre 2026 et classé critique, indique que les failles PHP peuvent permettre à des attaquants distants non authentifiés d'exécuter du code arbitraire sur un appareil concerné. Au 23 octobre 2026, chaque produit concerné est à l'état « Fixing » (correction en cours), avec une version corrigée « To be announced » (à annoncer).

Les étapes de QNAP : désactiver la redirection de ports vers le NAS sur votre routeur, désactiver l'UPnP sur le routeur, et désactiver la redirection de ports UPnP dans myQNAPcloud > Auto Router Configuration sur le NAS. Il précise que ces étapes réduisent l'exposition mais ne corrigent pas complètement les failles.

Sur l'exploitation, au 23 octobre 2026, QNAP indique que des tentatives d'exploitation contre PHP ont été signalées publiquement, et qu'il n'a reçu aucun signalement d'exploitation visant ses produits. Notre guide faille PHP sur NAS Synology et QNAP donne la liste complète des produits concernés et le reste des étapes.

Faut-il désactiver l'UPnP ?

Le Centre canadien pour la cybersécurité recommande de le désactiver, en particulier sur les équipements en bordure de réseau comme le routeur domestique : selon lui, le désactiver complètement est le moyen le plus efficace de se protéger contre les attaques liées à l'UPnP. L'agence américaine CISA conseille elle aussi de le désactiver, sauf besoin précis.

Il y a une nuance. Le Centre canadien indique que certains appareils ont besoin du service pour fonctionner correctement : vérifiez donc ce dont les vôtres ont besoin avant de le couper.

Comment vérifier l'UPnP et la redirection de ports sur ma box ?

Il n'existe pas de procédure unique, car chaque box a ses menus. Cybermalveillance.gouv.fr rappelle que pour modifier ces paramètres, il faut accéder à l'interface de gestion de votre box ou de votre routeur, et renvoie à sa documentation, à l'aide en ligne de votre opérateur ou à un spécialiste.

  1. Connectez-vous à l'interface de gestion de votre box ou de votre routeur, ou à l'application de votre opérateur.
  2. Cherchez le réglage UPnP. Le Centre canadien indique qu'il se trouve souvent dans les options « avancées » ou de « redirection NAT ».
  3. Désactivez l'UPnP et enregistrez.
  4. Ouvrez la liste des redirections de ports et passez chaque règle en revue. Le Centre canadien conseille de vérifier régulièrement ces règles. Pour un NAS QNAP, QNAP demande de désactiver sa redirection de ports.
  5. Profitez-en pour vérifier les mises à jour. Cybermalveillance.gouv.fr conseille de faire les mises à jour de vos équipements réseau dès qu'elles sont disponibles.
  6. Sur un NAS QNAP, allez aussi dans myQNAPcloud > Auto Router Configuration et désactivez la redirection de ports UPnP.

Si un appareil cesse de fonctionner ensuite, c'est peut-être l'un de ceux qui ont besoin de l'UPnP. La documentation de votre box ou de votre opérateur couvre les réglages de ce modèle.

Comment joindre mon NAS de l'extérieur sans redirection de ports ?

Par un VPN. QNAP demande d'utiliser un VPN pour l'accès à distance, en passant par son service QVPN ou par le VPN de votre routeur, plutôt que d'exposer directement les ports web. Netgate donne le même conseil pour la page d'administration de pfSense : n'y accéder que par un moyen sécurisé, comme un VPN.

Les autres étapes de QNAP, dont la limitation des ports d'administration du NAS, sont dans notre guide sur les NAS. La mise à jour restera nécessaire quand elle sortira.

Le rôle de Failshot

Failshot est une deuxième couche de sécurité pour votre Mac. Votre mot de passe est la première couche. Failshot est la deuxième : quand il est activé, il prend en photo la personne qui déverrouille votre Mac, puis, avec Pro, enregistre une vidéo de 5 secondes, et sa fenêtre lui indique que le déverrouillage a été photographié.

Il est fait pour le moment où quelqu'un s'assoit devant votre Mac et le déverrouille.

Avec Pro, activez les alertes, et Failshot vous envoie un e-mail pour un déverrouillage que vous ne confirmez pas comme le vôtre, pour un code PIN Failshot ou une réponse erronés, ou si son accès à la caméra est coupé pendant qu'il est activé. Pour le désactiver, ou le quitter depuis son menu, il faut Touch ID ou votre code PIN Failshot et votre réponse, jamais le mot de passe de votre Mac.

Failshot se télécharge gratuitement sur failshot.app pour Mac, avec macOS 14 ou une version ultérieure. Utilisation gratuite. Pro ajoute la vidéo, les alertes par e-mail et le coffre-fort chiffré. Essayez Failshot Pro pour Mac gratuitement pendant 7 jours sur failshot.app. Votre carte est demandée à l'inscription et débitée le 8e jour, sauf si vous annulez. L'application est en anglais, et les versions pour iPhone, Android et Windows seront bientôt disponibles.

Autres questions

Puis-je réactiver l'UPnP plus tard ?

Oui. Le réglage se trouve au même endroit dans l'interface de votre box. La CISA indique qu'il peut être nécessaire d'activer l'UPnP pour ajouter un appareil à votre réseau, puis de le désactiver ensuite.

Faut-il aussi désactiver l'administration à distance de ma box ?

Cybermalveillance.gouv.fr le conseille, si vous n'en avez pas besoin, car cette fonction expose l'interface de gestion de votre box ou de votre routeur sur internet. C'est une étape distincte de l'UPnP. Notre guide sur les box et pare-feu face à PHP2Shell la reprend.

Et si je ne peux pas désactiver l'UPnP ?

Le Centre canadien pour la cybersécurité propose alors d'autres mesures, dont isoler les appareils qui utilisent l'UPnP sur un réseau séparé, bloquer les ports associés au service sur la passerelle internet, garder les appareils à jour et vérifier régulièrement les règles de redirection de ports du routeur.

Désactiver l'UPnP corrige-t-il PHP2Shell ?

Non. QNAP indique que ses étapes réduisent l'exposition sans corriger complètement les failles, et le projet PHP que seule la mise à jour est une solution complète. Couper l'UPnP et la redirection de ports rend le NAS plus difficile à joindre en attendant.

PHP2Shell touche-t-il ma box ?

Seulement si elle fait tourner PHP, ce que seul son fabricant ou votre opérateur peut vous dire. Netgate et l'équipe d'OPNsense ont publié des correctifs pour pfSense et OPNsense. Notre guide sur les box et pare-feu résume ce que dit chacun.

Sources