So aktualisieren Sie OpenVPN nach CVE-2026-88964 auf 2.7.8

OpenVPN 2.7.8, getaggt um den 6.–7. Oktober 2026, behebt CVE-2026-88964 — einen vorzeichenlosen Underflow in der Domain-Search-Verarbeitung unter Windows und Android, den ein böswilliger authentifizierter Server über präparierte PUSH_REPLY Optionen. Diese Anleitung führt durch die Überprüfung Ihres Client-Builds, das sichere Upgrade und die Bestätigung des Patches, ohne CLI-Flags zu erfinden, die Ihr Paket nicht mitliefert.

Warum dieses Upgrade wichtig ist

Laut der OpenVPN-Community-Wiki-Advisory zu CVE-2026-88964, Versionen von 2.7_alpha3 bis 2.7.7 sind unter Windows und Android betroffen. Ein remote authentifizierter Server kann durch böswillige Domain-Search-Optionen einen Denial of Service oder eine Speicheroffenlegung verursachen. Der Fix ist in 2.7.8 enthalten. Unabhängige Berichterstattung auf Linux Compatible (7. Oktober 2026) stellt 88964 neben CVE-2026-84790 (NULL-Bytes in Zertifikatssubjekten), fortgesetzte Härtung für CVE-2026-84256 (Windows-cmd.exe-Quoting) und eine Robustheitsänderung an tls-crypt-v2 ohne CVE-ID.

Sicherheitshinweis: Verbinden Sie sich beim Testen nur mit VPN-Servern, denen Sie vertrauen. Ein „böswilliger authentifizierter Server“ im Advisory bedeutet einen Peer, der die Authentifizierung bereits bestanden hat — behandeln Sie unbekannte .ovpn-Profile und zufällige nicht vertrauenswürdige VPN-Apps daher als außerhalb des Geltungsbereichs dieser Anleitung. Versuchen Sie nicht, den Underflow gegen Produktionsserver nachzustellen.

Schritt 1 — Identifizieren, was Sie tatsächlich ausführen

1. Öffnen Sie unter Windows die OpenVPN GUI oder OpenVPN Connect und prüfen Sie Über / Version. Community-Builds geben oft eine Zeichenfolge aus wie OpenVPN 2.7.x.
2. Öffnen Sie unter Android die System-App-Info zu OpenVPN Connect oder Ihrem OpenVPN for Android-Build und notieren Sie den Versionscode, der im Play Store oder bei F-Droid angezeigt wird.
3. Wenn Sie die App einer Drittanbieter-VPN-Marke nutzen, verwenden Sie möglicherweise gar kein Community-OpenVPN — diese Apps bringen eigene Stacks mit. Diese Anleitung richtet sich an Clients im Stil von Community-OpenVPN / OpenVPN Connect, nicht an proprietäre Wrapper.

Notieren Sie die genaue Versionszeichenfolge, bevor Sie etwas ändern. Wenn Sie für den CVE-korrigierten Zweig bereits Version 2.7.8 oder neuer nutzen, können Sie zur Überprüfung springen, statt neu zu installieren. Unternehmensseitig verwaltete Geräte erfordern möglicherweise ein IT-Ticket statt einer lokalen Installation.

Schritt 2 — Herstellerpakete gegenüber zufälligen Spiegelservern bevorzugen

Laden Sie nur über Kanäle herunter, die Sie bereits für OpenVPN nutzen:

• Offizielle OpenVPN-Community-Release-Notes / Installer-Kanäle, referenziert von community.openvpn.net ReleaseHistory für 2.7.8.
• Google Play- oder F-Droid-Updates für den Android-Client, den Sie bereits aus diesen Stores installiert haben.
• Unternehmens-Softwarekataloge, die Prüfsummen festschreiben — fügen Sie keine unsignierten Binärdateien aus Forenthreads ein.

Überprüfen Sie Prüfsummen oder Signaturmetadaten, wenn Ihre Distribution sie bereitstellt. Lehnen Sie inoffizielle modifizierte APKs und unsignierte Sideloads ab, die vorgeben, OpenVPN zu sein; diese sind unsicher und liegen außerhalb des Anleitungsumfangs dieser Website.

Schritt 3 — Windows-Clients aktualisieren

1. Beenden Sie die OpenVPN-GUI vollständig (Taskleistensymbol → Beenden), damit Dateien nicht gesperrt sind.
2. Installieren Sie den Windows-Build 2.7.8 (oder eine neuere, gepatchte Version) aus Ihrem vertrauenswürdigen Kanal über die bestehende Installation, sofern Ihre Organisation nicht zuerst eine saubere Deinstallation verlangt.
3. Starten Sie neu, wenn das Installationsprogramm dies verlangt, insbesondere wenn TAP/Wintun-Treiber aktualisiert werden.
4. Öffnen Sie die GUI erneut, laden Sie Ihre bestehenden Profile und bestätigen Sie, dass der Info-Dialog jetzt 2.7.8+ anzeigt.
5. Verbinden Sie sich einmal mit einem bekannten, zuverlässigen Server und prüfen Sie das Protokoll auf eine normale PUSH_REPLY ohne Client-Abstürze.

Wenn Ihre Flotte OpenVPN DCO oder von Access Server verwaltete Agents verwendet, bestätigen Sie vor dem Massen-Rollout die Kompatibilität dieser Komponenten mit den DCO- und Instance-Restart-Korrekturen von 2.7.8 — Linux Compatible weist darauf hin, dass mehrere Änderungen in 2.7.8 Multi-Client- und Kernel-Offload-Pfade betreffen. Führen Sie zuerst einen Pilot-Ring durch, bevor Sie breit ausrollen.

Schritt 4 — Android-Clients aktualisieren

1. Aktualisieren Sie nach Möglichkeit über Play Store / F-Droid statt per Sideloading.
2. Öffnen Sie die App nach dem Update einmal im WLAN, akzeptieren Sie vorhandene Berechtigungsabfragen für die VPN-Dienstbindung und bestätigen Sie, dass die angezeigte Version bei Community-Builds über 2.7.7 liegt.
3. Importieren oder wählen Sie Ihr Profil erneut aus, stellen Sie die Verbindung her und öffnen Sie eine einfache HTTPS-Website, um zu bestätigen, dass der Tunnel aktiv ist.
4. Wenn die App eine Protokollansicht bietet, bestätigen Sie, dass keine Absturzschleife auftritt, wenn der Server DNS-Suchdomänen übermittelt — die Fehlerklasse, die CVE-2026-88964 adressiert.

Schritt 5 — Überprüfen und bei Bedarf einen Rollback durchführen

• Bewahren Sie das vorherige Installationsprogramm oder die APK in einem kontrollierten Archiv auf, damit Sie einen Rollback durchführen können, falls ein Unternehmensprofil nicht mehr funktioniert.
• In zertifikatsintensiven Umgebungen beachten Sie, dass CVE-2026-84790 dazu führt, dass OpenSSL-Builds Zertifikate mit eingebetteten NULL-Bytes in Subjects ablehnen — testen Sie diese Zertifikate vor der Unternehmensverteilung.
• Windows-Administratoren sollten außerdem die fortgesetzte Härtung der CreateProcess-Quotierung unter CVE-2026-84256 beachten, wenn sie Hilfswerkzeuge rund um OpenVPN skripten.

Checkliste

1. Bestätigen Sie, dass die Plattform Windows oder Android Community OpenVPN im Fenster 2.7_alpha3–2.7.7 ist.
2. Aktualisieren Sie nur über vertrauenswürdige Kanäle auf 2.7.8+.
3. Testen Sie PUSH_REPLY- / DNS-Suchdomänen-Profile erneut gegen Server, denen Sie vertrauen.
4. Dokumentieren Sie Versionszeichenfolgen für das Audit.
5. Trennen Sie diesen Client-Patch von nicht zugehörigen inoffiziellen Hinweisen zu modifizierten APKs — diese liegen außerhalb des Geltungsbereichs und sind unsicher.

Nach Bestätigung von 2.7.8 behandeln Sie tls-crypt-v2-Schlüsselhygiene und Scans der Zertifikatsinventur als nächsten operativen Durchlauf, statt davon auszugehen, dass eine CVE jedes OpenVPN-Risiko auf dem Endpunkt schließt.