Anche in IPv6 sarà da vedere. Perché fra SLAAC + privacy extension/DHCPv6 e firewall che dovrebbero comunque bloccare di default le connessioni in ingresso per l'utente medio rimane la necessità di accettare il traffico in ingresso in qualche modo. E non so cos'è peggio fra UPnP e utenti che finiscono per aprire l'intero prefisso per non avere noie. Per certi versi può persino essere peggio che con NAT dove comunque devi indicare un IP specifico di destinazione - ed è più facile avere IP statici in LAN con IPv4 che con IPv6 - visto che quest'ultimo richiede il prefisso assegnato staticamente.
A me piacerebbe avere un UPnP con autenticazione (le XBox opportunamente configurata può aprire le porte, il NAS no...) - rimane il problema che stiamo parlando di gamer che nella maggior parte dei casi vogliono giocare e basta.
Comunque sì, UPnP è una di quelle cose da lasciare disabilitata di default e abilitare espressamente dall'utente.