OpenVPN 2.7.8, taguée vers le 6–7 octobre 2026, corrige CVE-2026-88964 — un underflow non signé dans le traitement de la recherche de domaine sur Windows et Android qu’un serveur authentifié malveillant peut déclencher via des PUSH_REPLY options. Ce guide pratique explique comment vérifier la build de votre client, mettre à niveau en toute sécurité et confirmer le correctif sans inventer de flags CLI que votre paquet ne fournit pas.

SSL VPN topology diagram for client-to-server remote access
Source : Wikimedia Commons — Topologie SSL VPN

Pourquoi cette mise à niveau est importante

Selon l' Avis du wiki communautaire OpenVPN pour CVE-2026-88964, les versions de 2.7_alpha3 à 2.7.7 sont concernées sur Windows et Android. Un serveur distant authentifié peut provoquer un déni de service ou une divulgation de mémoire via des options de recherche de domaine malveillantes. Le correctif est livré dans la 2.7.8. Une couverture indépendante sur Linux Compatible (7 octobre 2026) place le 88964 aux côtés de CVE-2026-84790 (octets NULL dans les sujets de certificat), du durcissement continu pour CVE-2026-84256 (citation cmd.exe sous Windows), et d’un changement de robustesse tls-crypt-v2 sans identifiant CVE.

Note de sécurité : ne vous connectez qu’à des serveurs VPN de confiance pendant les tests. Un « serveur authentifié malveillant » dans l’avis désigne un pair qui a déjà passé l’authentification — traitez donc les profils .ovpn inconnus et les applications VPN aléatoires non fiables comme hors du champ de ce guide. N’essayez pas de reproduire l’underflow contre des serveurs de production.

Étape 1 — Identifiez ce que vous exécutez réellement

  1. Sous Windows, ouvrez OpenVPN GUI ou OpenVPN Connect et vérifiez À propos / version. Les builds communautaires exposent souvent une chaîne comme OpenVPN 2.7.x.
  2. Sur Android, ouvrez les informations système de l'application OpenVPN Connect ou de votre build OpenVPN for Android et notez le code de version affiché dans le Play Store ou F-Droid.
  3. Si vous utilisez l'application d'une marque VPN tierce, vous n'êtes peut-être pas du tout sur l'OpenVPN communautaire — ces applications embarquent leurs propres stacks. Ce guide cible les clients de type OpenVPN communautaire / OpenVPN Connect, et non les wrappers propriétaires.

Enregistrez la chaîne de version exacte avant de modifier quoi que ce soit. Si vous êtes déjà en 2.7.8 ou plus récent pour la branche corrigée du CVE, vous pouvez passer à la vérification plutôt que de réinstaller. Les appareils gérés par l'entreprise peuvent nécessiter un ticket IT plutôt qu'une installation locale.

Étape 2 — Préférez les paquets du fournisseur aux miroirs aléatoires

Asymmetric key diagram illustrating client and server key roles
Source : Wikimedia Commons — Clé asymétrique Lbutrico

Téléchargez uniquement depuis les canaux que vous utilisez déjà pour OpenVPN :

  • Notes de version communautaires officielles d'OpenVPN / canaux d'installation référencés depuis community.openvpn.net ReleaseHistory pour 2.7.8.
  • Mises à jour Google Play ou F-Droid pour le client Android que vous avez déjà installé depuis ces boutiques.
  • Catalogues logiciels d'entreprise qui épinglent les sommes de contrôle — ne collez pas de binaires non signés issus de fils de discussion de forums.

Vérifiez les sommes de contrôle ou les métadonnées de signature lorsque votre distribution les fournit. Refusez les APK officieux modifiés et les sideloads non signés se prétendant OpenVPN ; ceux-ci sont dangereux et hors du champ des guides pratiques de ce site.

Étape 3 — Mettre à niveau les clients Windows

  1. Quittez complètement l'interface graphique OpenVPN (icône de la barre d'état → Exit) afin que les fichiers ne soient pas verrouillés.
  2. Installez la version Windows 2.7.8 (ou une version corrigée plus récente) depuis votre canal de confiance par-dessus l'installation existante, sauf si votre organisation exige d'abord une désinstallation propre.
  3. Redémarrez si le programme d'installation le demande, en particulier lorsque les pilotes TAP/Wintun sont actualisés.
  4. Rouvrez l'interface graphique, chargez vos profils existants et confirmez que la boîte de dialogue À propos affiche désormais 2.7.8+.
  5. Connectez-vous une fois à un serveur connu comme fiable et vérifiez dans le journal qu'une PUSH_REPLY normale apparaît, sans plantage du client.

Si votre parc utilise OpenVPN DCO ou des agents gérés Access Server, confirmez que ces composants sont compatibles avec les correctifs DCO et de redémarrage d'instance de la 2.7.8 avant un déploiement massif — Linux Compatible indique que plusieurs changements de la 2.7.8 ciblent les chemins multi-clients et de déchargement noyau. Menez un premier anneau pilote avant un déploiement large.

Étape 4 — Mettre à niveau les clients Android

  1. Mettez à jour via le Play Store / F-Droid plutôt que par sideload, chaque fois que possible.
  2. Après la mise à jour, ouvrez l'application une fois en Wi-Fi, acceptez les invites d'autorisation déjà existantes pour la liaison du service VPN, et confirmez que la version affichée a dépassé 2.7.7 pour les builds communautaires.
  3. Importez ou resélectionnez votre profil, connectez-vous et parcourez un site HTTPS simple pour confirmer que le tunnel est actif.
  4. Si l'application propose une vue des journaux, confirmez qu'il n'y a pas de boucle de plantage lorsque le serveur pousse des domaines de recherche DNS — la classe de bogue que CVE-2026-88964 corrige.

Étape 5 — Vérifier et revenir en arrière si nécessaire

  • Conservez l'installateur ou l'APK précédent dans une archive contrôlée afin de pouvoir revenir en arrière si un profil d'entreprise se casse.
  • Pour les environnements riches en certificats, rappelez-vous que CVE-2026-84790 fait que les builds OpenSSL refusent les certificats contenant des octets NULL intégrés dans les sujets — testez ces certificats avant un déploiement d'entreprise.
  • Les administrateurs Windows doivent également noter le durcissement continu du quoting de CreateProcess sous CVE-2026-84256 lors de l'écriture de scripts d'outils d'aide autour d'OpenVPN.

Liste de contrôle

  1. Confirmez que la plateforme est Windows ou Android community OpenVPN dans la fenêtre 2.7_alpha3–2.7.7.
  2. Mettez à niveau uniquement depuis des canaux de confiance vers 2.7.8+.
  3. Retestez les profils PUSH_REPLY / domaines de recherche DNS auprès de serveurs de confiance.
  4. Documentez les chaînes de version pour l'audit.
  5. Séparez ce correctif client des conseils non liés concernant des APK modifiés non officiels — ceux-ci sont hors périmètre et dangereux.

Une fois 2.7.8 confirmée, traitez l'hygiène des clés tls-crypt-v2 et les analyses d'inventaire des certificats comme le prochain passage opérationnel plutôt que de supposer qu'un seul CVE clôt tous les risques OpenVPN sur le point de terminaison.