Come disattivare UPnP e port forwarding, e perché lo chiede QNAP

MacWindowsAggiornato 2026-10-31

L'avviso PHP2Shell di QNAP, QSA-26-18, chiede ai proprietari dei NAS coinvolti di disattivare sul router il port forwarding verso il NAS e di disattivare l'UPnP sul router. Al 23 ottobre 2026 QNAP non ha ancora versioni corrette, e dice che fino ad allora la protezione più efficace è tenere il dispositivo fuori da internet. Anche l'ACN, l'Agenzia per la cybersicurezza nazionale, tra i suoi consigli per la casa indica di disattivare l'UPnP sul router.

Risposta breve

L'UPnP serve a far trovare e configurare in automatico i dispositivi della rete, e secondo il CSIRT Italia può essere sfruttato persino per aprire porte di rete non autorizzate. L'ACN consiglia di disattivarlo sul router, perché può esporre servizi su internet in automatico. Per i NAS QNAP, QNAP chiede di spegnere UPnP e port forwarding finché non arriva una correzione, e di usare una VPN per l'accesso da remoto.

Cosa fanno UPnP e port forwarding?

UPnP, sigla di Universal Plug and Play, è un protocollo che il CSIRT Italia, il team dell'ACN, descrive come pensato per la scansione e la configurazione automatica dei dispositivi di rete, molto diffuso tra i prodotti per la casa e l'IoT. Lo stesso CSIRT avverte che, a causa di configurazioni spesso errate o troppo permissive, può essere sfruttato per muoversi all'interno della rete, esporre dispositivi sensibili e persino aprire porte di rete non autorizzate. Il Centro canadese per la cybersicurezza aggiunge che dà il controllo di impostazioni come il port forwarding, che gli attaccanti possono usare per aggirare i firewall.

Il port forwarding è una regola sul router per un dispositivo preciso. L'avviso di QNAP mette il suo spegnimento tra le misure per tenere il NAS fuori da internet, e propone una VPN per raggiungere il NAS invece di esporre direttamente le porte web.

I NAS QNAP hanno anche una loro funzione UPnP, Auto Router Configuration in myQNAPcloud, che l'avviso chiama UPnP port forwarding.

Perché l'avviso di QNAP chiede di spegnerli?

Perché la correzione non c'è ancora. QNAP dice che, finché non saranno disponibili versioni corrette, la protezione più efficace è tenere il dispositivo fuori da internet. Il suo avviso, pubblicato il 22 ottobre 2026 e classificato come critico, dice che le vulnerabilità di PHP potrebbero permettere ad attaccanti remoti non autenticati di eseguire codice arbitrario su un dispositivo coinvolto. Al 23 ottobre 2026 ogni prodotto coinvolto risulta «Fixing» (correzione in corso), con la versione corretta «To be announced» (da annunciare).

I passi di QNAP sono: disattivare sul router il port forwarding verso il NAS, disattivare l'UPnP sul router, e sul NAS disattivare l'UPnP port forwarding in myQNAPcloud > Auto Router Configuration. QNAP precisa che questi passi riducono l'esposizione ma non correggono del tutto le vulnerabilità.

Sullo sfruttamento, QNAP dice, al 23 ottobre 2026, che sono stati segnalati pubblicamente tentativi di sfruttamento contro PHP e che non ha ricevuto segnalazioni di sfruttamento contro prodotti QNAP. La guida sui NAS e PHP2Shell ha l'elenco completo dei prodotti QNAP coinvolti e gli altri passi.

Devo disattivare l'UPnP?

Le fonti ufficiali dicono di sì, salvo un bisogno preciso. Nel bollettino del giugno 2025 sui dispositivi esposti su internet, il CSIRT Italia scrive che è fondamentale disabilitare questo protocollo sui router e che, dove non è possibile, andrebbe limitato alle sole reti locali fidate. Tra le 12 buone pratiche per la casa che l'ACN ha pubblicato nell'agosto 2025 c'è disattivare l'UPnP sul router, che può esporre servizi automaticamente su internet. L'agenzia statunitense CISA consiglia di disattivarlo a meno che tu non ne abbia un bisogno specifico.

C'è un però. La CISA dice che l'UPnP può servire acceso per aggiungere un dispositivo alla rete la prima volta, e che va spento subito dopo. Il Centro canadese per la cybersicurezza dice che alcuni dispositivi ne hanno bisogno per funzionare bene, quindi controlla cosa serve ai tuoi prima di disattivarlo.

Come controllo UPnP e port forwarding sul mio router?

Non esiste una procedura unica, perché i menu di ogni router sono diversi. La CISA dice di seguire il manuale del tuo router per i passi precisi, e il manuale del produttore per sapere come entrare nel router.

Entra nella pagina di amministrazione o nell'app del router. La CISA dice che i dati di accesso predefiniti possono essere su un'etichetta attaccata al router.
Cerca l'impostazione UPnP. Il Centro canadese per la cybersicurezza dice che spesso è in una sezione di impostazioni avanzate o di inoltro NAT.
Disattiva l'UPnP e salva.
Trova l'elenco del port forwarding e rivedi ogni regola. Il Centro canadese consiglia di rivederle con regolarità. Per un NAS QNAP, QNAP chiede di disattivare il suo port forwarding.
Cerca anche un aggiornamento del firmware. L'ACN consiglia di aggiornarlo regolarmente, con gli aggiornamenti automatici attivi quando ci sono.
Su un NAS QNAP, vai anche in myQNAPcloud > Auto Router Configuration e disattiva l'UPnP port forwarding.

Se dopo un dispositivo smette di funzionare, potrebbe essere uno di quelli che hanno bisogno dell'UPnP.

Come raggiungo il NAS da fuori senza port forwarding?

Con una VPN. QNAP chiede di usare una VPN per l'accesso da remoto, collegandosi tramite il suo QVPN Service o la VPN del router invece di esporre direttamente le porte web. L'ACN dà lo stesso consiglio per la rete di casa: evitare di aprire porte sul router per servizi di accesso remoto e preferire una VPN dedicata.

Gli altri passi di QNAP, compresa la limitazione delle porte di gestione del NAS, sono nella guida sui NAS. L'aggiornamento servirà comunque, quando arriverà.

Il ruolo di Failshot

Failshot è un secondo livello di sicurezza per il tuo Mac. La password è il primo livello, e Failshot è il secondo: quando è attivo, fotografa chi sblocca il Mac, poi, con Pro, registra un video di 5 secondi, e la sua finestra avvisa quella persona che lo sblocco è stato fotografato.

È per il momento in cui qualcuno si siede al tuo Mac e lo sblocca.

Con Pro, attiva gli avvisi e Failshot ti manda un'e-mail per uno sblocco che non confermi come tuo, per un PIN di Failshot o una risposta sbagliati, o se il suo accesso alla fotocamera viene disattivato mentre è attivo. Per disattivarlo, o per chiuderlo dal suo menu, servono Touch ID oppure il PIN di Failshot e la tua risposta, mai la password del Mac.

Failshot si scarica gratis da failshot.app per Mac, con macOS 14 o versioni successive. Gratis da usare. Pro aggiunge il video, gli avvisi via email e la cassaforte crittografata. Prova Failshot Pro per Mac gratis per 7 giorni su failshot.app. La carta viene registrata al momento dell'iscrizione e addebitata l'ottavo giorno, a meno che tu non disdica. L'app è in inglese, e le versioni per iPhone, Android e Windows sono in arrivo.

Altre domande

Posso riattivare l'UPnP più tardi?

Sì. L'interruttore è nello stesso punto delle impostazioni del router. La CISA dice che può servire acceso per aggiungere un dispositivo alla rete la prima volta, e che va spento di nuovo dopo.

Devo disattivare anche la gestione remota del router?

L'ACN consiglia di disattivare il controllo da remoto se non è strettamente necessario, ed è un passo distinto dall'UPnP. La guida su router e PHP2Shell ne parla insieme a PHP2Shell.

E se non posso disattivare l'UPnP?

Il CSIRT Italia dice di limitarne l'uso alle sole reti locali fidate, di tenere aggiornato il firmware e di configurare bene il firewall e la segmentazione della rete. Il Centro canadese per la cybersicurezza indica, tra le altre misure, di tenere aggiornati i dispositivi e di rivedere le regole di port forwarding del router.

Disattivare l'UPnP corregge PHP2Shell?

No. QNAP dice che i suoi passi riducono l'esposizione ma non correggono del tutto le vulnerabilità, e il progetto PHP dice che solo un aggiornamento è una soluzione completa. Spegnere UPnP e port forwarding rende il NAS più difficile da raggiungere mentre aspetti.

PHP2Shell riguarda il mio router?

Solo se il router usa PHP, e solo il produttore può dirtelo. Netgate e il team di OPNsense hanno pubblicato correzioni per pfSense e OPNsense. La guida su router e PHP2Shell riassume cosa dice ciascuno.