Проект OpenVPN выпустил обновления обеих поддерживаемых веток: 2.7.7 вышла 3 сентября, 2.6.23 — 23 сентября. Оба выпуска прежде всего про безопасность: в каждом закрыто по семь уязвимостей с присвоенными номерами CVE.

Что исправлено. Общая для всех систем уязвимость одна, и она в слое надёжной доставки управляющего канала: устранён неограниченный тайм-аут TLS, а подтверждения для пакетов, которых не могло быть в очереди на доставку, теперь игнорируются (CVE-2026-84732). В ветке 2.6 к этому добавлены защита от возможного двойного освобождения памяти при обработке прежнего ключа сессии после его смены (CVE-2026-84471) и отказ доверять запросу другой стороны на повторную отправку обёрнутого клиентского ключа.

Остальные шесть уязвимостей из заметок к 2.7.7 относятся к Windows, причём не к самому туннелю, а к обвязке вокруг него:

  • служебные объекты системы больше не создаются с пустым списком доступа — раньше один пользователь компьютера мог мешать процессам OpenVPN других пользователей (CVE-2026-82312);
  • служба openvpnserv перестала принимать косую черту в путях к конфигурациям: проверка пути её не учитывала, и запустить удавалось файл, который администратор запускать не разрешал (CVE-2026-78043);
  • там же исправлено чтение за пределами буфера при доменах в национальных алфавитах (CVE-2026-78221);
  • исправлено экранирование командной строки при запуске внешних программ (CVE-2026-84256), вызов netsh.exe без полного пути (CVE-2026-84226) и выход на один байт за границу буфера при разборе параметров DHCP (CVE-2026-81738).

Из того, что не про безопасность: в 2.7.7 поправлена проверка устаревших маршрутов на сервере — она удаляла не только временные записи, но и постоянные, заданные через --iroute и --ifconfig-push.

Кого это касается. Тех, у кого стоит классический OpenVPN ветки 2.x: это сборка OpenVPN GUI для Windows, пакеты в дистрибутивах Linux и серверная часть. Острее всего — общие компьютеры под Windows, где работают несколько человек: большинство исправлений как раз о том, что один пользователь мог сделать с туннелем другого.

Приложение OpenVPN Connect построено на другой кодовой базе — библиотеке OpenVPN 3, — и эти заметки к нему не относятся.

Что сделать. На Windows — поставить свежий установщик с сайта проекта, на Linux — обновить пакет штатными средствами дистрибутива. Конфигурации при этом не меняются: профиль .ovpn остаётся тем же, перевыпускать его не нужно.

Зачем двадцатилетний протокол до сих пор нужен рядом с WireGuard и где он выигрывает — в разборе OpenVPN; как его настраивают на компьютере — на странице VPN для Windows.