UPnPは無効にすべき？ポートフォワーディングを切る理由と方法

MacWindows更新

QNAPはPHP2Shellについてのアドバイザリ（QSA-26-18）で、影響を受けるNASの持ち主に、ルーターでNAS向けのポートフォワーディングを無効にし、ルーターのUPnPも無効にするよう求めています。2026年10月23日時点でQNAPの修正版はまだ出ておらず、それまではNASをインターネットから切り離しておくことが最も効果的な保護だとしています。

要点

UPnPは、同じネットワークの機器どうしが自動で見つけ合い、ポートフォワーディングなどの設定を変えられるようにする仕組みです。米国のCISAは、特に必要がなければUPnPを無効にするよう勧めています。QNAPのNASについては、修正版が出るまでUPnPとポートフォワーディングの両方を切り、外からはVPNでつなぐよう、QNAPが求めています。

UPnPとポートフォワーディングは何をするものですか

UPnP（Universal Plug and Play）は、同じネットワーク上の機器が自動的にお互いを見つけ、接続し、やり取りできるようにするプロトコルです。カナダのサイバーセキュリティセンターは、UPnPはポートフォワーディングなどのネットワーク設定も変えられ、攻撃者はそれを使ってファイアウォールを回避できる、と説明しています。良い面について、CISAは、UPnPを使うと家庭のスマート家電を簡単にWi-Fiにつなげる、と書いています。

ポートフォワーディング（ポート開放）は、特定の機器あてに外からの通信を通すための、ルーター上のルールです。QNAPのアドバイザリは、これを切ることをNASをインターネットから切り離す手順の一つとし、ウェブのポートを直接さらす代わりにVPNを使うよう勧めています。

QNAPのNASには、myQNAPcloudの「Auto Router Configuration」という独自のUPnP機能もあり、アドバイザリはこれをUPnPポートフォワーディングと呼んでいます。

JPCERT/CCは、Wi-Fiルーターによっては、UPnP機能が初期設定で有効になっているなど、利用者の意図と関係なく使える状態のサービスがあると注意しています。自分で設定した覚えがなくても、UPnPが動いていることはあります。

QNAPのアドバイザリはなぜ両方を切るよう言っているのですか

まだ修正版がないからです。QNAPは、修正版が出るまでは、機器をインターネットから切り離しておくことが最も効果的な保護だとしています。2026年10月22日に公開され、深刻度がCriticalのこのアドバイザリは、PHPの脆弱性によって、認証を受けていない遠隔の攻撃者が影響を受ける機器で任意のコードを実行できるおそれがある、と書いています。2026年10月23日時点で、影響を受ける製品はすべて「Fixing」（修正中）で、修正版は「To be announced」（未定）となっています。

QNAPが示す手順は、ルーターでNAS向けのポートフォワーディングを無効にすること、ルーターのUPnPを無効にすること、NASの「myQNAPcloud」>「Auto Router Configuration」でUPnPポートフォワーディングを無効にすることです。これらは露出を減らすが、脆弱性を完全に直すものではない、とも書いています。

悪用について、QNAPは2026年10月23日時点で、PHPを狙った悪用の試みが公に報告されているとし、QNAP製品を狙った悪用の報告は受けていないとしています。QNAPの影響製品の一覧とほかの手順はNASのガイドにまとめています。

UPnPは無効にすべきですか

CISAの答えは、特に必要がなければ無効にする、です。CISAの家庭のネットワークについてのページは、ネットワーク内のマルウェアがUPnPを使ってルーターのファイアウォールを回避しうると書いています。家庭のWi-Fiについてのガイドでも、攻撃者がUPnPを使ってネットワーク内の機器にマルウェアを広げ、遠隔から操作するおそれがある、としています。

日本では、IPAが家庭用ルーターなどについての注意喚起で、管理インターフェースは外部に公開せず、不要なサービスやポートは止めるよう勧めています。総務省の取り組み「NOTICE」のリーフレットも、使用しない機能や設定は無効にするよう呼びかけています。

注意点もあります。CISAは、機器をネットワークに追加するときにはUPnPを有効にする必要がある場合があり、そのあとで無効にするよう書いています。カナダのサイバーセキュリティセンターは、正しく動くのにUPnPが必要な機器もあるので、無効にする前に自分の機器に何が必要か確かめるよう勧めています。

ルーターのUPnPとポートフォワーディングを確認するには

ルーターのメニューは機種ごとに違うので、決まった手順はありません。CISAは、詳しい手順は自分のルーターの取扱説明書で確認するよう書いています。警察庁も、ルーターの設定の詳細は取扱説明書やメーカーのホームページで確認するよう求めています。

  1. ルーターの管理画面かアプリにログインします。
  2. UPnPの設定を探します。カナダのサイバーセキュリティセンターによると、多くは詳細設定（advanced）やNAT転送（NAT forwarding）の設定項目の中にあります。
  3. UPnPを無効にして保存します。
  4. ポートフォワーディング（ポート開放）の一覧を開き、ルールを一つずつ確認します。JPCERT/CCは、ファイアウォール機能やポートフォワード機能、UPnP機能などの通信設定を、使い始める前やファームウェアを更新するときに見直すよう勧めています。QNAPのNASについては、QNAPがNAS向けのポートフォワーディングを無効にするよう求めています。
  5. ついでにファームウェアの更新も確認します。警察庁は、常に最新のファームウェアを使うよう求めています。
  6. QNAPのNASでは、「myQNAPcloud」>「Auto Router Configuration」でUPnPポートフォワーディングも無効にします。

切ったあとに動かなくなった機器があれば、UPnPが必要な機器かもしれません。その機種の設定はメーカーの説明書で確認してください。

ポートを開けずに外からNASにつなぐには

VPNを使います。QNAPは、ウェブのポートを直接さらす代わりに、QVPN ServiceかルーターのVPNを通じて接続するよう勧めています。NetgateもpfSenseの管理画面について、VPNなど安全な経路でだけ入るよう勧めています。

管理用ポートの制限など、QNAPのほかの手順はNASのガイドをご覧ください。修正版が出たら、更新は必要です。

Failshotについて

Failshotは、「2つ目の層」のデバイスセキュリティ（second layer device security）です。パスワードが1つ目の層で、Failshotはその次の層です。Failshotがオンの間は、Macのロックを解除した人の写真を撮り、Pro では続けて5秒間の動画も記録します。Failshotのウインドウは、ロック解除が撮影されたことを解除した人に知らせます。

Failshotは、誰かがあなたのMacの前に座り、ロックを解除する瞬間のためのものです。

Pro でアラートをオンにすれば、Failshotは、あなたが自分だと確認しなかったロック解除、FailshotのPINや答えの入力ミス、オンの間にカメラへのアクセスがオフにされたことをメールで知らせます。オフにしたり、メニューから終了したりするには、Touch IDかFailshotのPINと答えが必要で、Macのパスワードでは操作できません。

FailshotはmacOS 14以降のMacに無料でダウンロードできます。無料で使えます。Pro では動画、メール通知、暗号化された Vault が加わります。Failshot Proは、failshot.appで7日間無料で試せます。申し込み時にカードを登録し、解約しない限り8日目に請求されます。なお、アプリは英語版のみです。

よくある質問

UPnPはあとで有効に戻せますか

戻せます。CISAは、機器をネットワークに追加するときにはUPnPを有効にする必要がある場合があり、そのあとでまた無効にするよう書いています。設定はルーターの同じ場所にあります。

ルーターのリモート管理も切るべきですか

UPnPとは別の対策として、各機関が勧めています。CISAは、リモート管理はインターネット経由でルーターにログインして設定を変えられる機能で、無効にすれば攻撃者がルーターの設定を変えるのを防げるとしています。警察庁も、外部からルーターの管理画面への接続設定が見覚えなく有効になっていないか確認するよう求めています。詳しくはルーターのガイドをご覧ください。

UPnPを切れない場合はどうすればいいですか

カナダのサイバーセキュリティセンターは、UPnPに関連した攻撃を防ぐ最も効果的な方法は完全に無効にすることだとしています。それができない場合は、ルーターのポートフォワーディングのルールやセキュリティ設定を定期的に見直し、機器を更新しておくことなどを勧めています。

UPnPを切ればPHP2Shellは直りますか

直りません。QNAPは、示した手順は露出を減らすが脆弱性を完全に直すものではないとし、PHPプロジェクトは更新だけが完全な解決策だとしています。UPnPとポートフォワーディングを切るのは、修正を待つ間、NASに外から届きにくくするためです。

PHP2Shellは自宅のルーターに影響しますか

ルーターがPHPを使っている場合だけで、それはメーカーにしか答えられません。NetgateとOPNsenseのチームは、pfSenseとOPNsense向けの修正を出しています。それぞれの内容はルーターのガイドにまとめています。

出典