UPnP en port forwarding uitzetten, en waarom QNAP dat aanraadt

MacWindowsBijgewerkt

Het PHP2Shell-advies van QNAP, QSA-26-18, vraagt eigenaren van getroffen NAS-apparaten om port forwarding naar de NAS op hun router uit te zetten en UPnP op de router uit te zetten. Op 23 oktober 2026 heeft QNAP nog geen herstelde versies uitgebracht, en tot die er zijn, is de NAS van internet afhouden volgens QNAP de beste bescherming.

Kort antwoord

UPnP laat apparaten op je netwerk elkaar vinden en geeft ze controle over instellingen zoals port forwarding. Het NCSC raadt aan UPnP in je modem of router uit te zetten. Voor een NAS van QNAP zegt QNAP UPnP en port forwarding allebei uit te zetten tot er een fix is, en een VPN te gebruiken voor toegang op afstand.

Wat doen UPnP en port forwarding?

UPnP, kort voor Universal Plug and Play, is een protocol waarmee apparaten op hetzelfde netwerk elkaar automatisch vinden en met elkaar praten. Het Nationaal Cyber Security Centrum (NCSC) schrijft dat UPnP het mogelijk maakt apparaten eenvoudig te verbinden, zonder configuratie, maar dat het belangrijk is na te denken of je dat wilt. Het Canadese Centre for Cyber Security schrijft dat UPnP ook controle geeft over netwerkinstellingen zoals port forwarding, en dat aanvallers dat kunnen gebruiken om firewalls te omzeilen.

Port forwarding is een regel op je router voor een bepaald apparaat.

Een NAS van QNAP heeft ook een eigen UPnP-functie, Auto Router Configuration in myQNAPcloud, die het advies UPnP port forwarding noemt.

Waarom zegt het advies van QNAP ze uit te zetten?

Omdat er nog geen fix is. QNAP zegt dat zolang er geen herstelde versies zijn, de NAS van internet afhouden de meest effectieve bescherming is. Het advies, gepubliceerd op 22 oktober 2026 en beoordeeld als Critical, zegt dat de PHP-kwetsbaarheden aanvallers op afstand, zonder in te loggen, willekeurige code op een getroffen apparaat kunnen laten uitvoeren. Op 23 oktober 2026 staat elk getroffen product op "Fixing", met als herstelde versie "To be announced".

De stappen van QNAP zelf zijn: zet port forwarding naar de NAS uit op je router, zet UPnP uit op de router, en zet UPnP port forwarding uit onder myQNAPcloud > Auto Router Configuration op de NAS. QNAP zegt dat deze stappen de blootstelling verkleinen, maar de kwetsbaarheden niet volledig oplossen.

Over misbruik zegt QNAP, op 23 oktober 2026, dat pogingen tot misbruik van PHP publiekelijk zijn gerapporteerd, en dat het geen meldingen heeft gekregen van misbruik gericht op producten van QNAP. Het NCSC meldde op 23 oktober 2026 dat het één melding kent van mogelijk misbruik in het buitenland, maar dat niet is bevestigd dat de aanval ook echt succesvol was. Onze gids over Synology en QNAP heeft de volledige lijst van getroffen producten en de andere stappen van QNAP.

Moet ik UPnP uitzetten?

Het NCSC zegt: schakel UPnP uit in de modem of router. Het voegt toe dat dezelfde functie in de instellingen van een apparaat ook onder andere namen kan staan, zoals Personal Cloud of Media Server. CISA raadt aan UPnP uit te zetten tenzij je het echt nodig hebt, en schrijft dat malware binnen je netwerk UPnP kan gebruiken om de firewall van je router te omzeilen.

Er zit een addertje onder het gras. In zijn stappenplan voor routers schrijft het NCSC dat UPnP uit te zetten is, maar dat dat gevolgen kan hebben voor sommige programma's. CISA zegt dat je UPnP misschien aan moet hebben om een apparaat voor het eerst aan je netwerk toe te voegen, en het daarna weer uitzet. Het Canadese Centre for Cyber Security zegt dat sommige apparaten UPnP nodig hebben om goed te werken, dus kijk eerst wat de jouwe nodig hebben.

Hoe controleer ik UPnP en port forwarding op mijn router?

Er is geen vaste set stappen, want elke router heeft andere menu's. Het NCSC zegt dat het handig is de handleiding van je router bij de hand te hebben, omdat de instellingen per apparaat verschillen.

  1. Log in op de beheerpagina of app van je router. CISA schrijft dat de standaardinloggegevens op een sticker op de router kunnen staan.
  2. Zoek de instelling voor UPnP. Het Canadese Centre for Cyber Security schrijft dat die vaak onder een geavanceerd onderdeel of de instellingen voor NAT forwarding staat.
  3. Zet UPnP uit en sla op.
  4. Zoek de lijst met port forwarding-regels en bekijk elke regel. Het Canadese Centre raadt aan deze regels regelmatig na te lopen. Voor een NAS van QNAP zegt QNAP de port forwarding ervan uit te zetten.
  5. Kijk meteen of er een firmware-update is. Het NCSC schrijft dat er voor routers regelmatig updates uitkomen die veiligheidslekken oplossen.
  6. Ga op een NAS van QNAP ook naar myQNAPcloud > Auto Router Configuration en zet UPnP port forwarding uit.

Hoe bereik ik mijn NAS van buitenaf zonder port forwarding?

Via een VPN. QNAP zegt een VPN te gebruiken voor toegang op afstand, via zijn QVPN Service of de VPN van je router, in plaats van webpoorten direct open te zetten. Het NCSC adviseert voor slimme apparaten ook versleutelde verbindingen, bijvoorbeeld door ze alleen bereikbaar te maken via een VPN met je router, en Netgate geeft hetzelfde advies voor de beheerpagina van pfSense.

De andere stappen van QNAP, zoals de beheerpoorten van de NAS beperken, staan in onze gids over Synology en QNAP. De update blijft nodig zodra die er is.

Waar Failshot past

Failshot is een tweede beveiligingslaag voor je Mac. Je wachtwoord is de eerste laag. Failshot is de tweede: als het aan staat, maakt het foto's van wie je Mac ontgrendelt en neemt het met Pro daarna een video van 5 seconden op, en het venster van Failshot laat die persoon weten dat de ontgrendeling is gefotografeerd.

Het is voor het moment dat iemand achter je Mac gaat zitten en hem ontgrendelt.

Zet met Pro meldingen aan, en Failshot mailt je over een ontgrendeling die je niet als de jouwe bevestigt, een verkeerde Failshot-pincode of een verkeerd antwoord, of als de cameratoegang van Failshot wordt uitgezet terwijl het aan staat. Om het uit te zetten, of te stoppen via het menu, is Touch ID of je Failshot-pincode met je antwoord nodig, nooit je Mac-wachtwoord.

Failshot is gratis te downloaden op failshot.app voor de Mac, met macOS 14 of later. Gratis te gebruiken. Pro voegt video, e-mailmeldingen en de versleutelde kluis toe. Probeer Failshot Pro voor de Mac 7 dagen gratis op failshot.app. Je kaart wordt bij het aanmelden vastgelegd en op dag 8 belast, tenzij je opzegt. De app is in het Engels, en de versies voor iPhone, Android en Windows komen binnenkort.

Meer vragen

Kan ik UPnP later weer aanzetten?

Ja. CISA zegt dat je UPnP misschien aan moet hebben om een apparaat voor het eerst aan je netwerk toe te voegen, en dat je het daarna weer uitzet. De schakelaar zit op dezelfde plek in de instellingen van je router.

Moet ik ook beheer op afstand op mijn router uitzetten?

Het NCSC raadt het aan, als aparte stap naast UPnP. Het schrijft dat beheer op afstand betekent dat iedereen met het juiste wachtwoord direct vanaf internet op je router kan inloggen, en dat dat in de meeste gevallen niet nodig is. Onze gids over routers behandelt dit samen met PHP2Shell.

Wat als ik UPnP niet kan uitzetten?

Het Canadese Centre for Cyber Security zegt dat UPnP helemaal uitzetten de meest effectieve bescherming is tegen aanvallen via UPnP. Kan dat niet, dan raadt het onder meer aan je apparaten bij te werken en de port forwarding-regels van je router regelmatig na te lopen.

Lost UPnP uitzetten PHP2Shell op?

Nee. QNAP zegt dat zijn stappen de blootstelling verkleinen maar de kwetsbaarheden niet volledig oplossen, en het PHP-project zegt dat alleen een update een volledige oplossing is. UPnP en port forwarding uitzetten maakt de NAS moeilijker bereikbaar terwijl je wacht.

Bronnen