OpenVPN 2.7.8, etiquetada alrededor del 6–7 de octubre de 2026, corrige CVE-2026-88964 — un subdesbordamiento sin signo en el manejo de domain-search en Windows y Android que un servidor autenticado malicioso puede desencadenar mediante PUSH_REPLY opciones. Esta guía recorre la verificación de la compilación de su cliente, la actualización segura y la confirmación del parche sin inventar flags CLI que su paquete no incluye.

SSL VPN topology diagram for client-to-server remote access
Fuente: Wikimedia Commons — Topología de VPN SSL

Por qué importa esta actualización

Según el Aviso de la wiki comunitaria de OpenVPN para CVE-2026-88964, las versiones de 2.7_alpha3 a 2.7.7 están afectadas en Windows y Android. Un servidor remoto autenticado puede causar denegación de servicio o divulgación de memoria mediante opciones maliciosas de búsqueda de dominio. La corrección se incluye en 2.7.8. Cobertura independiente en Linux Compatible (7 de octubre de 2026) sitúa 88964 junto a CVE-2026-84790 (bytes NULL en los sujetos de certificado), el endurecimiento continuo de CVE-2026-84256 (entrecomillado de cmd.exe en Windows) y un cambio de robustez de tls-crypt-v2 sin un ID de CVE.

Nota de seguridad: conéctese solo a servidores VPN en los que confíe durante las pruebas. Un «servidor autenticado malicioso» en el aviso significa un par que ya superó la autenticación — así que trate los perfiles .ovpn desconocidos y las aplicaciones VPN aleatorias no confiables como fuera del alcance de esta guía. No intente reproducir el subdesbordamiento contra servidores de producción.

Paso 1 — Identifique lo que realmente ejecuta

  1. En Windows, abra OpenVPN GUI o OpenVPN Connect y compruebe Acerca de / versión. Las compilaciones comunitarias suelen exponer una cadena como OpenVPN 2.7.x.
  2. En Android, abre la información de la aplicación del sistema de OpenVPN Connect o de tu compilación de OpenVPN for Android y anota el código de versión que se muestra en Play Store o F-Droid.
  3. Si usas la aplicación de una marca de VPN de terceros, es posible que no estés usando el OpenVPN comunitario en absoluto: esas aplicaciones incorporan sus propias pilas. Esta guía se dirige a clientes de estilo OpenVPN comunitario / OpenVPN Connect, no a envoltorios propietarios.

Registra la cadena de versión exacta antes de cambiar nada. Si ya estás en la 2.7.8 o una más reciente de la rama corregida para el CVE, puedes pasar a la verificación en lugar de reinstalar. Los dispositivos gestionados por la empresa pueden requerir un ticket de TI en lugar de una instalación local.

Paso 2 — Prefiere los paquetes del proveedor frente a espejos aleatorios

Asymmetric key diagram illustrating client and server key roles
Fuente: Wikimedia Commons — Clave asimétrica Lbutrico

Descarga solo desde los canales que ya usas para OpenVPN:

  • Notas de versión oficiales de la comunidad OpenVPN / canales del instalador referenciados desde community.openvpn.net ReleaseHistory para 2.7.8.
  • Actualizaciones de Google Play o F-Droid para el cliente de Android que ya instalaste desde esas tiendas.
  • Catálogos de software empresarial que fijan sumas de verificación: no pegue binarios sin firmar procedentes de hilos de foros.

Verifique las sumas de verificación o los metadatos de firma cuando su distribución los proporcione. Rechace APK modificados no oficiales e instalaciones laterales sin firmar que afirmen ser OpenVPN; son inseguros y quedan fuera del alcance de las guías prácticas de este sitio.

Paso 3 — Actualizar clientes de Windows

  1. Salga completamente de la GUI de OpenVPN (icono de la bandeja → Salir) para que los archivos no queden bloqueados.
  2. Instale la compilación de Windows 2.7.8 (o una parcheada más reciente) desde su canal de confianza sobre la instalación existente, salvo que su organización exija primero una desinstalación limpia.
  3. Reinicie si el instalador lo solicita, especialmente cuando se actualicen los controladores TAP/Wintun.
  4. Vuelva a abrir la GUI, cargue sus perfiles existentes y confirme que el cuadro de diálogo Acerca de ahora muestra 2.7.8+.
  5. Conéctese una vez a un servidor de confianza comprobada y revise el registro en busca de un PUSH_REPLY normal, sin bloqueos del cliente.

Si su flota usa OpenVPN DCO o agentes administrados de Access Server, confirme que esos componentes son compatibles con las correcciones de DCO y de reinicio de instancia de 2.7.8 antes del despliegue masivo — Linux Compatible señala que varios cambios de 2.7.8 se dirigen a las rutas de múltiples clientes y de offload del kernel. Prepare un anillo piloto antes del despliegue amplio.

Paso 4 — Actualizar clientes de Android

  1. Actualice a través de Play Store / F-Droid en lugar de instalar de forma lateral siempre que sea posible.
  2. Tras la actualización, abra la aplicación una vez en Wi-Fi, acepte los avisos de permisos que ya existían para la vinculación del servicio VPN y confirme que la versión indicada superó 2.7.7 en las compilaciones comunitarias.
  3. Importa o vuelve a seleccionar tu perfil, conéctate y navega por un sitio HTTPS sencillo para confirmar que el túnel está activo.
  4. Si la aplicación ofrece una vista de registros, confirma que no hay un bucle de fallos cuando el servidor envía dominios de búsqueda DNS — la clase de error que aborda CVE-2026-88964.

Paso 5 — Verificar y revertir si es necesario

  • Conserva el instalador o APK anterior en un archivo controlado para poder revertir si un perfil corporativo falla.
  • En entornos con muchos certificados, recuerda que CVE-2026-84790 hace que las compilaciones de OpenSSL rechacen certificados con bytes NULL incrustados en los sujetos — prueba esos certificados antes de la implementación empresarial.
  • Los administradores de Windows también deben tener en cuenta el endurecimiento continuo del entrecomillado de CreateProcess bajo CVE-2026-84256 al escribir scripts de herramientas auxiliares en torno a OpenVPN.

Lista de verificación

  1. Confirma que la plataforma es OpenVPN comunitario de Windows o Android en la ventana 2.7_alpha3–2.7.7.
  2. Actualiza solo desde canales de confianza a 2.7.8+.
  3. Vuelve a probar los perfiles PUSH_REPLY / de dominio de búsqueda DNS frente a servidores en los que confíes.
  4. Documenta las cadenas de versión para auditoría.
  5. Separa este parche del cliente de los consejos no relacionados sobre APK modificados no oficiales — esos quedan fuera del alcance y no son seguros.

Tras confirmar 2.7.8, trate la higiene de claves tls-crypt-v2 y los análisis de inventario de certificados como el siguiente pase operativo, en lugar de asumir que un CVE cierra todos los riesgos de OpenVPN en el endpoint.