UPnP와 포트포워딩 끄는 방법, 그리고 큐냅이 끄라고 하는 이유

MacWindows업데이트

큐냅은 PHP2Shell 권고문 QSA-26-18에서 영향을 받는 NAS 사용자에게 공유기에서 NAS로 가는 포트포워딩을 해제하고, 공유기의 UPnP도 끄라고 안내합니다. 2026년 10월 23일 기준으로 큐냅의 수정 버전은 아직 나오지 않았고, 큐냅은 그때까지 기기를 인터넷에 노출하지 않는 것이 가장 효과적인 보호라고 말합니다.

간단한 답변

UPnP는 같은 네트워크의 기기들이 서로를 찾게 해 주고, 포트포워딩 같은 설정도 바꿀 수 있게 해 줍니다. 미국 CISA는 꼭 필요한 경우가 아니면 UPnP를 끄라고 권합니다. 큐냅 NAS에 대해서는 큐냅이 수정 버전이 나올 때까지 UPnP와 포트포워딩을 모두 끄고, 원격 접속은 VPN으로 하라고 안내합니다.

UPnP와 포트포워딩은 무엇을 하나요?

UPnP(Universal Plug and Play)는 같은 네트워크에 있는 기기들이 자동으로 서로를 찾고 통신하게 해 주는 프로토콜입니다. 캐나다 사이버보안센터는 UPnP가 포트포워딩 같은 네트워크 설정도 제어할 수 있고, 공격자가 이를 이용해 방화벽을 우회할 수 있다고 설명합니다. 좋은 점에 대해서는 CISA가 UPnP 덕분에 집 안의 스마트 기기를 쉽게 연결할 수 있다고 말합니다.

포트포워딩은 특정 기기를 위해 공유기에 만들어 두는 규칙입니다. 큐냅 권고문은 이것을 끄는 일을 NAS를 인터넷에 노출하지 않는 조치로 분류하고, 웹 포트를 직접 열어 두는 대신 VPN으로 NAS에 접속하라고 권합니다.

큐냅 NAS에는 자체 UPnP 기능도 있습니다. myQNAPcloud의 Auto Router Configuration으로, 권고문은 이를 UPnP 포트포워딩이라고 부릅니다.

큐냅 권고문은 왜 둘 다 끄라고 하나요?

아직 수정 버전이 없기 때문입니다. 큐냅은 수정 버전이 나올 때까지는 기기를 인터넷에 노출하지 않는 것이 가장 효과적인 보호라고 말합니다. 2026년 10월 22일 공개되고 심각도 Critical로 분류된 이 권고문은, PHP 취약점 때문에 인증되지 않은 원격 공격자가 영향을 받는 기기에서 임의의 코드를 실행할 수 있다고 설명합니다. 2026년 10월 23일 기준으로 영향을 받는 제품은 모두 "Fixing"(수정 중)이고, 수정 버전은 "To be announced"(추후 발표)입니다.

큐냅이 안내하는 단계는 공유기에서 NAS로 가는 포트포워딩 해제, 공유기의 UPnP 끄기, NAS의 myQNAPcloud > Auto Router Configuration에서 UPnP 포트포워딩 끄기입니다. 큐냅은 이 단계들이 노출을 줄이지만 취약점을 완전히 고치지는 않는다고 말합니다.

악용에 대해 큐냅은 2026년 10월 23일 기준으로 PHP를 노린 악용 시도가 공개적으로 보고되었고, 큐냅 제품을 노린 악용 보고는 받지 않았다고 밝혔습니다. 큐냅의 영향 제품 전체 목록과 나머지 단계는 시놀로지와 큐냅 NAS의 PHP2Shell 대응에 있습니다.

UPnP를 꺼야 하나요?

CISA의 답은 특별히 필요한 경우가 아니면 끄라는 것입니다. CISA의 가정 네트워크 보안 안내는 네트워크 안의 악성코드가 UPnP를 이용해 공유기의 방화벽을 우회할 수 있다고 말합니다. 가정용 와이파이 안내에서도 공격자가 UPnP를 이용해 네트워크의 기기에 악성코드를 퍼뜨리고 원격으로 조종할 수 있다고 덧붙입니다.

주의할 점도 있습니다. CISA는 기기를 처음 네트워크에 추가할 때는 UPnP를 켜야 할 수 있고, 그다음에 끄라고 합니다. 캐나다 사이버보안센터는 UPnP가 있어야 제대로 동작하는 기기도 있으니, 끄기 전에 내 기기에 무엇이 필요한지 확인하라고 합니다.

공유기의 UPnP와 포트포워딩은 어떻게 확인하나요?

공유기마다 메뉴가 달라서 정해진 단계는 없습니다. CISA는 자세한 방법은 내 공유기의 사용 설명서를 보라고 하고, KISA도 공유기 화면은 제조사마다 다를 수 있으니 각 제조사의 매뉴얼을 참고하라고 합니다.

  1. 공유기의 관리 화면이나 앱에 로그인합니다. CISA는 기본 로그인 정보가 공유기에 붙은 스티커에 있을 수 있다고 말합니다.
  2. UPnP 설정을 찾습니다. 캐나다 사이버보안센터에 따르면 대개 고급 설정이나 NAT 포워딩 설정 안에 있습니다.
  3. UPnP를 끄고 저장합니다.
  4. 포트포워딩 목록을 열고 규칙을 하나씩 살펴봅니다. 캐나다 사이버보안센터는 이 규칙들을 정기적으로 검토하라고 권합니다. 큐냅 NAS라면 큐냅은 NAS로 가는 포트포워딩을 해제하라고 합니다.
  5. 내친김에 펌웨어 업데이트도 확인합니다. KISA는 공유기의 취약한 부분을 개선하는 최신 펌웨어가 있는지 주기적으로 확인하고 업데이트하라고 합니다.
  6. 큐냅 NAS에서는 myQNAPcloud > Auto Router Configuration에서 UPnP 포트포워딩도 끕니다.

끈 뒤에 동작하지 않는 기기가 있다면 UPnP가 필요한 기기일 수 있습니다. 그 모델의 설정은 공유기 제조사의 설명서에 있습니다.

포트포워딩 없이 밖에서 NAS에 접속하려면?

VPN을 씁니다. 큐냅은 웹 포트를 직접 노출하는 대신 QVPN Service나 공유기의 VPN으로 원격 접속하라고 안내합니다. Netgate도 pfSense 관리 화면에 대해 VPN 같은 안전한 방법으로만 접속하라고 같은 조언을 합니다.

관리 포트 제한 등 큐냅의 다른 단계는 시놀로지와 큐냅 NAS의 PHP2Shell 대응에 있습니다. 수정 버전이 나오면 업데이트는 여전히 필요합니다.

Failshot에 대해

Failshot은 두 번째 보안 계층(second layer device security)입니다. 비밀번호가 첫 번째 계층이고, Failshot은 그다음 계층입니다. Failshot이 켜져 있으면 Mac의 잠금을 해제한 사람의 사진을 찍고, Pro에서는 이어서 5초 동영상도 녹화하며, Failshot 창은 잠금을 해제한 사람에게 그 잠금 해제가 촬영되었다고 알립니다.

Failshot은 누군가 내 Mac 앞에 앉아 잠금을 해제하는 순간을 위한 앱입니다.

Pro에서 이메일 알림을 켜면, 내가 본인이라고 확인하지 않은 잠금 해제, 잘못 입력한 Failshot PIN이나 답변, Failshot이 켜져 있는 동안 카메라 접근 권한이 꺼진 경우에 Failshot이 이메일을 보냅니다. Failshot을 끄거나 메뉴에서 종료하려면 Touch ID 또는 Failshot PIN과 답변이 필요하며, Mac 암호로는 할 수 없습니다.

Failshot은 macOS 14 이상의 Mac에서 무료로 다운로드할 수 있습니다. 무료로 사용할 수 있습니다. Pro는 동영상, 이메일 알림, 암호화된 보관함을 더합니다. failshot.app에서 Failshot Pro를 7일 동안 무료로 써 볼 수 있습니다. 가입할 때 카드를 등록하며, 해지하지 않으면 8일째에 요금이 청구됩니다. iPhone, Android, Windows 버전은 출시 예정입니다. 앱은 영어로만 제공됩니다.

자주 묻는 질문

UPnP를 나중에 다시 켤 수 있나요?

네. CISA는 기기를 처음 네트워크에 추가할 때 UPnP를 켜야 할 수 있고, 그다음에 다시 끄라고 합니다. 스위치는 공유기 설정의 같은 곳에 있습니다.

공유기의 원격관리도 꺼야 하나요?

UPnP와는 별개의 조치로 권장됩니다. KISA는 원격관리 기능을 사용하지 않는다면 반드시 '사용하지 않음'으로 설정하라고 권고합니다. CISA도 원격관리는 인터넷을 통해 공유기에 로그인해 설정을 바꾸는 기능이고, 끄면 누군가 먼저 내 네트워크에 들어와야 설정을 바꿀 수 있다고 설명합니다. 공유기와 PHP2Shell에서 함께 다룹니다.

UPnP를 끌 수 없다면?

캐나다 사이버보안센터는 UPnP와 관련된 공격을 막는 가장 효과적인 방법은 서비스를 완전히 끄는 것이라고 말합니다. 그럴 수 없다면 기기를 최신으로 유지하고 공유기의 포트포워딩 규칙을 검토하는 등의 방법을 제안합니다.

UPnP를 끄면 PHP2Shell이 해결되나요?

아닙니다. 큐냅은 안내한 단계가 노출을 줄이지만 취약점을 완전히 고치지는 않는다고 하고, PHP 개발팀은 업데이트만이 완전한 해결책이라고 말합니다. UPnP와 포트포워딩을 끄면 기다리는 동안 밖에서 NAS에 닿기 어려워질 뿐입니다.

PHP2Shell이 내 공유기에 영향을 주나요?

공유기가 PHP를 쓸 때만 그렇고, 그것은 제조사만 알려 줄 수 있습니다. Netgate와 OPNsense 팀은 pfSense와 OPNsense용 수정을 발표했습니다. 각각의 내용은 공유기와 PHP2Shell에 있습니다.

출처