Regulación
La liga de fútbol española LaLiga presentó un escrito de 14 páginas fechado el 10 de septiembre de 2026 en el que pide a la Comisión Europea que añada NordVPN, Proton VPN, ExpressVPN y Surfshark a la Counterfeit and Piracy Watch List de 2027. El escrito se incorporó a la consulta pública de la Comisión que transcurrió del 11 de junio al 21 de septiembre de 2026. LaLiga afirma que la petición se dirige al marketing deliberado y a la promoción por afiliados de la elusión de medidas de bloqueo ordenadas judicialmente, no a la prestación de servicios VPN como tal. Anteriormente, el 17 de febrero de 2026, el Juzgado de lo Mercantil n.º 1 de Córdoba concedió medidas cautelares ex parte contra NordVPN y Proton VPN que les obligan a hacer inaccesibles desde España las direcciones IP facilitadas por la demandante; en mayo el mismo juzgado rechazó las multas coercitivas contra NordVPN mientras continúa el procedimiento principal.
Si usa una marca citada en España o la UE, vigile si cambia el mensaje de 'unblock sports' dirigido a afiliados y si se amplían los bloqueos de IP españolas; la lista de la Comisión está prevista para el Q2 2027 y no constituye por sí misma una prohibición legal.
Vía BetaNews
Al margen del impulso de esta semana a la lista de vigilancia de la UE, un reportaje del 3 de julio de 2026 indicó que el Gobierno de India está preparando un marco legal más amplio para los proveedores de VPN después de que las directrices de abril de 2022 de CERT-In —que exigen la retención durante cinco años de los nombres, contactos y direcciones IP asignadas de los abonados— no lograran el cumplimiento de las principales marcas no-logs. Los funcionarios debatieron requisitos de una oficina local en India, responsables de cumplimiento designados y posibles penas de cárcel para los empleados locales, en eco de elementos de las IT Rules, 2021. Proton VPN, NordVPN, ExpressVPN y Surfshark ya habían retirado los servidores físicos en India y enrutan el tráfico de India a través de ubicaciones como Singapore en lugar de almacenar los identificadores exigidos.
Los compradores en India deberían preferir proveedores que documenten públicamente la jurisdicción, el logging y cómo se enruta el tráfico indio, y deberían asumir que las normas de presencia local pueden volver con más rigor que las directrices de 2022.
Seguridad de Internet
El 6 de octubre de 2026, el U.S. Federal Bureau of Investigation y el United States Secret Service publicaron el aviso conjunto de ciberseguridad JCSA-20261006-01 sobre FortiBleed, una campaña activa de compromiso de credenciales contra firewalls Fortinet FortiGate y pasarelas SSL VPN expuestos a Internet. SOCRadar ha verificado más de 86,644 dispositivos comprometidos en 194 países. Los atacantes reutilizan credenciales filtradas, hacen stuffing y spraying de contraseñas, descifran sin conexión hashes de administrador SHA-256 heredados con Hashcat y Hashtopolis, crean nuevas cuentas de administrador y, en algunos casos, eliminan o cambian las contraseñas de administrador existentes para bloquear a los operadores legítimos. Se ha observado la cadena FortiBleed como vía de acceso inicial para afiliados de ransomware, incluidos INC/Lynx y Payload.
Los administradores de SSL VPN empresariales y autoalojados deberían eliminar la gestión por Internet cuando sea posible, cerrar todas las sesiones de administrador y de VPN, restablecer las credenciales, imponer MFA resistente al phishing, cambiar el almacenamiento de contraseñas de administrador a PBKDF2 y buscar cuentas FortiGate no reconocidas.
Vía FBI IC3 / USSS JCSA-20261006-01
Proveedores
El 7 de octubre de 2026 Surfshark anunció que su implementación de WireGuard ahora es completamente segura poscuántica en iOS y macOS, al añadir ML-DSA para la autenticación sobre el intercambio de claves poscuántico ML-KEM anterior. La compañía afirma que ambos estándares de NIST basados en retículos son necesarios para cerrar las amenazas steal-now-decrypt-later y las futuras amenazas cuánticas en tiempo real contra el handshake y la autenticación del servidor. El mismo enfoque de doble estándar impulsa el protocolo personalizado Dausos de Surfshark en macOS, con plataformas adicionales previstas para el despliegue poscuántico de WireGuard.
Si te importan los handshakes poscuánticos, confirma que la función está habilitada en la versión de tu sistema operativo y no asumas que los clientes de Android, Windows o Linux ya hayan lanzado la misma pila dual de ML-KEM más ML-DSA.
El 3 de septiembre de 2026, Mullvad anunció que cerrará sus servidores públicos de DNS-over-HTTPS cifrado y, en su lugar, apoyará financieramente a la Quad9 Foundation. Los usuarios de Mullvad Browser con la configuración DoH predeterminada se migrarán automáticamente; quien haya configurado manualmente el DoH de Mullvad debe cambiar antes del 2 de noviembre de 2026, y los perfiles de configuración DoH de Mullvad existentes en iOS y macOS dejarán de funcionar y necesitarán reemplazos de Quad9. Mullvad enfatiza que el tráfico dentro de Mullvad VPN ya utiliza el DNS interno del proveedor, por lo que el servicio DoH público era principalmente para el uso del navegador y sin VPN.
Antes del 2 de noviembre, sustituye cualquier endpoint DoH de Mullvad configurado manualmente y los perfiles de configuración de Apple por Quad9; los usuarios del túnel VPN no se ven afectados en el DNS dentro del túnel.
Vía Blog de Mullvad
Tecnología VPN
El proyecto comunitario OpenVPN publicó OpenVPN 2.7.8 el 7 de octubre de 2026 como una corrección de errores centrada en la seguridad. Las correcciones incluyen rechazar certificados con bytes NULL en los subjects (CVE-2026-84790), corregir un underflow sin signo al borrar domain_search_list (CVE-2026-88964) y detener la expansión de variables de cmd.exe en argumentos de Windows entre comillas (CVE-2026-84256). La actualización incluida del controlador ovpn-dco-win a v2.8.13 aborda CVE-2026-105390, una falla de bloqueo local que podría provocar un deadlock en un host. Anteriormente en la misma línea de versiones, OpenVPN 2.7.7 del 3 de septiembre corrigió CVE-2026-84732, una denegación de servicio en la capa de fiabilidad mediante tiempos de espera de retransmisión TLS no acotados y acuses de recibo para paquetes no pendientes, que afecta a 2.6.22 y 2.7.6.
Los despliegues de OpenVPN autoalojados y en appliances deben pasar a 2.7.8 o a la línea equivalente 2.6.23 de inmediato, especialmente las instalaciones MSI de Windows que incluyen el controlador dco-win.
Vía Historial de versiones de la comunidad OpenVPN
Foros
El 9 de octubre de 2026, el Tor Project publicó una declaración comunitaria en la que explica que continuará su colaboración técnica de alcance limitado con Mullvad tras una diligencia debida interna que incluyó debates comunitarios, una encuesta al personal, una revisión del consejo y planificación de escenarios financieros. Tor indicó que las preocupaciones recientes sobre una donación política de un cofundador de Mullvad suscitaron llamados a poner fin a la relación. El Proyecto está pausando el cobranding proactivo, aclarando cómo se describe Mullvad Browser en los canales propios de Tor y enfatizando que la colaboración debe servir a la misión de derechos humanos de Tor sin implicar un respaldo más amplio de valores.
Trate Mullvad Browser y Tor Browser como productos relacionados pero con gobernanza independiente; no interprete el trabajo técnico conjunto como un respaldo general tras la pausa de cobranding de Tor.