Como desativar o UPnP e o redirecionamento de portas, e por que a QNAP manda fazer isso

MacWindowsAtualizado

O comunicado da QNAP sobre o PHP2Shell, o QSA-26-18, pede que os donos de NAS afetados desativem no roteador o redirecionamento de portas para o NAS e desativem o UPnP do roteador. Em 23 de outubro de 2026, a QNAP ainda não tem versões corrigidas, e diz que manter o aparelho fora da internet é a proteção mais eficaz até que elas saiam.

Resposta rápida

O UPnP permite que aparelhos da sua rede se encontrem e controlem configurações como o redirecionamento de portas. A agência americana CISA recomenda desativar o UPnP, a menos que você precise dele. Para os NAS da QNAP, a própria QNAP manda desligar o UPnP e o redirecionamento de portas até sair a correção, e usar uma VPN para o acesso remoto.

O que o UPnP e o redirecionamento de portas fazem?

UPnP, sigla de Universal Plug and Play, é um protocolo que permite que aparelhos da mesma rede se encontrem e conversem sozinhos. O Centro Canadense de Cibersegurança diz que ele também dá controle sobre configurações de rede como o redirecionamento de portas, e que atacantes podem usar isso para contornar firewalls. A CISA descreve o lado bom: o UPnP facilita conectar aparelhos inteligentes da casa à rede Wi-Fi.

O redirecionamento de portas é uma regra no roteador para um aparelho específico. O comunicado da QNAP coloca o desligamento dele dentro de manter o NAS fora da internet, e oferece a VPN como forma de chegar ao NAS sem expor portas web diretamente.

Os NAS da QNAP também têm um recurso de UPnP próprio, o Auto Router Configuration, no myQNAPcloud, que o comunicado chama de redirecionamento de portas por UPnP.

Por que o comunicado da QNAP manda desligar?

Porque ainda não há correção. A QNAP diz que, até as versões corrigidas saírem, a proteção mais eficaz é manter o aparelho fora da internet. O comunicado, publicado em 22 de outubro de 2026 e classificado como crítico, diz que as falhas do PHP podem permitir que atacantes remotos sem autenticação executem código arbitrário num aparelho afetado. Em 23 de outubro de 2026, todos os produtos afetados aparecem como "Fixing" (em correção), com a versão corrigida "To be announced" (a anunciar).

Os passos da QNAP são desativar no roteador o redirecionamento de portas para o NAS, desativar o UPnP do roteador e desativar o redirecionamento de portas por UPnP em myQNAPcloud > Auto Router Configuration, no próprio NAS. Ela diz que esses passos reduzem a exposição, mas não corrigem totalmente as vulnerabilidades.

Sobre exploração, em 23 de outubro de 2026, a QNAP diz que tentativas de exploração contra o PHP foram relatadas publicamente e que ela não recebeu relatos de exploração contra produtos QNAP. O guia NAS Synology e QNAP e a vulnerabilidade do PHP traz a lista completa de produtos afetados e os outros passos.

Devo desativar o UPnP?

A resposta da CISA é sim, a menos que você tenha uma necessidade específica. A página dela sobre segurança da rede de casa diz que malware dentro da sua rede pode usar o UPnP para contornar o firewall do roteador. O guia dela sobre Wi-Fi doméstico acrescenta que atacantes podem usar o UPnP para espalhar malware para os aparelhos da sua rede e controlá-los remotamente.

Há um porém. A CISA diz que, em alguns casos, você pode precisar ligar o UPnP para adicionar um aparelho à rede, e que deve desligá-lo depois. O Centro Canadense diz que alguns aparelhos precisam do UPnP para funcionar direito, então confira o que os seus precisam antes de desativar.

Como confiro o UPnP e o redirecionamento de portas no meu roteador?

Não existe um passo a passo único, porque os menus mudam de roteador para roteador. A CISA manda consultar o manual do seu roteador para as instruções e para saber como entrar nele.

  1. Entre na página ou no app de administração do roteador. A CISA diz que os dados de acesso de fábrica podem estar numa etiqueta no aparelho.
  2. Procure a configuração de UPnP. O Centro Canadense diz que ela costuma ficar nas opções avançadas ou nas de redirecionamento NAT.
  3. Desligue o UPnP e salve.
  4. Encontre a lista de redirecionamento de portas e revise cada regra. O Centro Canadense sugere revisar essas regras regularmente. Para um NAS da QNAP, a QNAP manda desativar o redirecionamento para ele.
  5. Aproveite para procurar uma atualização de firmware e conferir o firewall do roteador. O guia sobre roteadores e o PHP2Shell traz as orientações do CERT.br para os dois.
  6. Num NAS da QNAP, vá também em myQNAPcloud > Auto Router Configuration e desative o redirecionamento de portas por UPnP.

Se um aparelho parar de funcionar depois disso, ele pode ser um dos que precisam do UPnP.

Como acesso o NAS de fora sem redirecionamento de portas?

Por VPN. A QNAP manda usar uma VPN para o acesso remoto, conectando pelo QVPN Service ou pela VPN do roteador em vez de expor portas web diretamente. A Netgate dá o mesmo conselho para a página de administração do pfSense: acessá-la só por meios seguros, como uma VPN.

Os outros passos da QNAP, como limitar o acesso às portas de gerenciamento do NAS, estão no guia sobre NAS. A atualização continua necessária quando sair.

Onde o Failshot entra

O Failshot é uma segunda camada de segurança para o seu Mac. A sua senha é a primeira camada, e o Failshot é a segunda: enquanto está ligado, ele fotografa quem desbloquear o seu Mac e depois, com o Pro, grava um vídeo de 5 segundos, e a janela dele avisa a pessoa que o desbloqueio foi fotografado.

Ele é para o momento em que alguém se senta diante do seu Mac e o desbloqueia.

Com o Pro, ative os alertas, e o Failshot manda um e-mail para você sobre um desbloqueio que você não confirmar como seu, um PIN ou resposta do Failshot errados, ou o acesso dele à câmera sendo desativado enquanto ele está ligado. Para desligá-lo, ou encerrá-lo pelo menu dele, é preciso o Touch ID ou o seu PIN e a sua resposta do Failshot, nunca a senha do Mac.

O Failshot é um download gratuito para Mac em failshot.app, para macOS 14 ou posterior. Grátis para usar. O Pro acrescenta vídeo, alertas por e-mail e o cofre criptografado. Experimente o Failshot Pro para Mac grátis por 7 dias em failshot.app. O seu cartão é cadastrado na inscrição e cobrado no 8º dia, a menos que você cancele. O app está em inglês, e as versões para iPhone, Android e Windows chegam em breve.

Mais perguntas

Posso ligar o UPnP de novo depois?

Pode. A CISA diz que você pode precisar do UPnP ligado para adicionar um aparelho à rede, e que deve desligá-lo de novo em seguida. A opção fica no mesmo lugar nas configurações do roteador.

Devo desativar também o gerenciamento remoto do roteador?

A CISA recomenda, como um passo separado do UPnP. O guia sobre roteadores e o PHP2Shell explica esse ajuste junto com os outros cuidados do CERT.br.

E se eu não conseguir desligar o UPnP?

O Centro Canadense diz que desativá-lo por completo é a forma mais eficaz de se proteger de ataques ligados ao UPnP. Quando isso não é possível, ele sugere, entre outros passos, manter os aparelhos atualizados e revisar as regras de redirecionamento de portas do roteador.

Desligar o UPnP corrige o PHP2Shell?

Não. A QNAP diz que os passos dela reduzem a exposição, mas não corrigem totalmente as vulnerabilidades, e o projeto PHP diz que só uma atualização é uma solução completa. Desligar o UPnP e o redirecionamento de portas deixa o NAS mais difícil de alcançar enquanto você espera.

O PHP2Shell afeta o meu roteador?

Só se o roteador rodar PHP, e só o fabricante pode dizer isso. A Netgate e a equipe do OPNsense publicaram correções para o pfSense e o OPNsense. O guia sobre roteadores traz o que cada um diz.

Fontes