如何关闭 UPnP 和端口转发，以及威联通为什么建议关闭

MacWindows更新

威联通（QNAP）关于 PHP2Shell 的安全公告 QSA-26-18 让受影响 NAS 的用户在路由器上关闭指向 NAS 的端口转发，并关闭路由器的 UPnP。截至 2026 年 10 月 23 日，威联通还没有发布修复版本，它说在修复版本推出之前，最有效的保护是不让设备暴露在互联网上。

简要回答

UPnP 让网络里的设备互相发现，还让它们能控制端口转发之类的设置。美国 CISA 建议，除非有特定需要，否则关闭 UPnP。对于威联通 NAS，威联通说在修复推出之前，UPnP 和端口转发都要关掉，远程访问改用 VPN。

UPnP 和端口转发是做什么的？

UPnP 是“通用即插即用”（Universal Plug and Play）的缩写，是一种让同一网络里的设备自动发现并互相通信的协议。加拿大网络安全中心（Canadian Centre for Cyber Security）说，它还能控制端口转发之类的网络设置，攻击者可以借此绕过防火墙。CISA 也直白地说了它的好处：UPnP 让你可以很方便地把家里的智能设备连上网。

端口转发是路由器上为某一台设备设的规则。威联通的公告把关闭它列在“不让 NAS 暴露在互联网上”这一步之下，并建议用 VPN 访问 NAS，而不是直接暴露网页端口。

威联通 NAS 自己也有一个 UPnP 功能，就是 myQNAPcloud 里的 Auto Router Configuration（自动路由器配置），公告称之为 UPnP 端口转发。

威联通的公告为什么让人关掉它们？

因为还没有修复。威联通说，在修复版本推出之前，最有效的保护是不让设备暴露在互联网上。它的公告于 2026 年 10 月 22 日发布，严重程度为“严重”（Critical），说这些 PHP 漏洞可能让未经身份验证的远程攻击者在受影响的设备上执行任意代码。截至 2026 年 10 月 23 日，所有受影响的产品都标为“Fixing”（修复中），修复版本为“To be announced”（待公布）。

威联通给出的步骤是：在路由器上关闭指向 NAS 的端口转发，关闭路由器的 UPnP，并在 NAS 上进入“myQNAPcloud > Auto Router Configuration”，关闭 UPnP 端口转发。它说这些步骤能减少暴露，但不能完全修复漏洞。

关于利用情况，截至 2026 年 10 月 23 日，威联通说针对 PHP 的利用尝试已有公开报告，但它没有收到针对威联通产品的利用报告。国家互联网应急中心（CNCERT）说，漏洞技术细节与 PoC 已广泛传播。新加坡网络安全局（CSA）说，已有针对这些漏洞的大范围利用尝试的报告。威联通受影响产品的完整列表和其余步骤，见NAS 与 PHP2Shell。

要不要关闭 UPnP？

CISA 的回答是要关，除非你有特定需要。它的家庭网络安全页面说，网络里的恶意软件可以利用 UPnP 绕过路由器的防火墙。它的家庭 Wi-Fi 指南还说，攻击者可以利用 UPnP 把恶意软件传到你网络里的设备上，并远程控制这些设备。

不过有个前提。CISA 说，往网络里添加设备时可能需要先打开 UPnP，加完再关掉。加拿大网络安全中心也说，有些设备需要 UPnP 才能正常工作，所以关之前先弄清楚你的设备需要什么。

怎么检查路由器上的 UPnP 和端口转发？

没有统一的步骤，因为每台路由器的菜单都不一样。CISA 说，具体操作请参考你自己路由器的说明书，怎么登录路由器也要看厂商的手册。

  1. 登录路由器的管理页面或 App。CISA 说，默认的登录信息可能印在路由器的贴纸上。
  2. 找到 UPnP 设置。加拿大网络安全中心说，它通常在“高级”设置或 NAT 转发设置里。
  3. 关闭 UPnP 并保存。
  4. 找到端口转发列表，逐条检查规则。加拿大网络安全中心建议定期检查这些规则。对于威联通 NAS，威联通说要关闭指向它的端口转发。
  5. 顺便检查有没有固件更新。CISA 说，定期更新能保护你免受已知漏洞的影响。
  6. 在威联通 NAS 上，还要进入“myQNAPcloud > Auto Router Configuration”，关闭 UPnP 端口转发。

如果关掉之后某台设备不能用了，它可能就是需要 UPnP 的那种。这个型号的设置，请看路由器厂商的手册。

不用端口转发，怎么从外面访问 NAS？

用 VPN。威联通说，远程访问要用 VPN，通过它的 QVPN Service 或路由器的 VPN 连接，而不是直接暴露网页端口。Netgate 对 pfSense 的管理页面也是同样的建议：只通过 VPN 等安全方式访问。

威联通的其他步骤，包括限制 NAS 的管理端口，见NAS 与 PHP2Shell。修复推出后，仍然需要更新。

Failshot 能做什么

Failshot 是 Mac 的“第二层”设备安全（second layer device security）。你的密码是第一层，Failshot 是第二层：它开启时，会给解锁你 Mac 的人拍照，使用 Pro 时还会接着录一段 5 秒的视频，它的窗口会告诉解锁的人这次解锁被拍下了。

它为有人坐到你的 Mac 前、解锁它的那一刻准备。

使用 Pro 时打开邮件提醒，有一次解锁你没有确认是自己、有人输错 Failshot PIN 或答案，或者 Failshot 开启时它的摄像头权限被关掉，Failshot 都会给你发邮件。关闭 Failshot，或从它的菜单里退出，需要 Touch ID 或你的 Failshot PIN 和答案，永远不用你的 Mac 密码。

Mac 应用可以在 macOS 14 或更高版本上免费下载。免费使用。Pro 加上视频、电子邮件提醒和加密保险库。在 failshot.app 可以免费试用 Failshot Pro 7 天：注册时绑定银行卡，除非你取消，否则在第 8 天扣费。iPhone、Android 和 Windows 版即将推出。应用目前只有英文版。

更多问题

UPnP 关了以后还能再打开吗？

能。CISA 说，往网络里添加设备时可能需要先打开 UPnP，加完之后应该再关掉。开关就在路由器设置里的同一个位置。

路由器的远程管理也要关吗？

CISA 建议关掉，这是和 UPnP 分开的另一步。它说，远程管理让你可以通过互联网登录路由器修改设置，关掉之后，别人必须先连上你的网络。这一点和 PHP2Shell 一起，在路由器 PHP 漏洞里讲到了。

UPnP 关不掉怎么办？

加拿大网络安全中心说，完全关闭 UPnP 是防范 UPnP 相关攻击最有效的办法。做不到的话，它建议的其他做法包括保持设备更新、检查路由器的端口转发规则等。

关掉 UPnP 能修好 PHP2Shell 吗？

不能。威联通说它的步骤能减少暴露，但不能完全修复漏洞；PHP 官方也说只有更新才是完整的解决办法。关掉 UPnP 和端口转发，是让 NAS 在等待修复期间更难被人从外面访问到。

PHP2Shell 会影响我的路由器吗？

只有路由器里跑着 PHP 才会，这只有厂商能告诉你。Netgate 和 OPNsense 团队已经为 pfSense 和 OPNsense 发布了修复，各自的说法见路由器 PHP 漏洞。

来源