Réglementation
La ligue de football espagnole LaLiga a déposé un mémoire de 14 pages daté du 10 septembre 2026 demandant à la Commission européenne d'ajouter NordVPN, Proton VPN, ExpressVPN et Surfshark à la liste de surveillance de la contrefaçon et du piratage 2027. Le dépôt a été versé à la consultation publique de la Commission qui s'est tenue du 11 juin au 21 septembre 2026. LaLiga indique que la demande vise le marketing délibéré et la promotion par affiliés du contournement de mesures de blocage ordonnées par un tribunal, et non la fourniture de services VPN en tant que telle. Plus tôt, le 17 février 2026, le tribunal de commerce n° 1 de Córdoba a accordé des mesures conservatoires ex parte contre NordVPN et Proton VPN, leur enjoignant de rendre inaccessibles depuis l'Espagne les adresses IP fournies par le demandeur ; en mai, le même tribunal a refusé des astreintes coercitives contre NordVPN, tandis que l'instance principale se poursuit.
Si vous utilisez une marque nommée en Espagne ou dans l'UE, surveillez si le message 'unblock sports' destiné aux affiliés évolue et si les blocages d'IP espagnols s'étendent ; la liste de la Commission est attendue au Q2 2027 et ne constitue pas en elle-même une interdiction légale.
Via BetaNews
Indépendamment de la poussée de cette semaine sur la liste de surveillance de l'UE, un reportage du 3 juillet 2026 indiquait que le gouvernement indien prépare un cadre juridique plus large pour les fournisseurs de VPN après que les directives d'avril 2022 de CERT-In — qui imposent une conservation de cinq ans des noms, contacts et adresses IP attribuées des abonnés — n'ont pas obtenu la conformité des grandes marques no-logs. Les responsables ont évoqué des exigences portant sur un bureau local en Inde, des agents de conformité désignés et d'éventuelles peines de prison pour les employés locaux, en écho à des éléments des IT Rules, 2021. Proton VPN, NordVPN, ExpressVPN et Surfshark avaient déjà retiré leurs serveurs physiques indiens et acheminent le trafic indien via des localisations telles que Singapore plutôt que de stocker les identifiants exigés.
Les acheteurs en Inde devraient privilégier les fournisseurs qui documentent publiquement leur juridiction, leur journalisation et la façon dont le trafic indien est acheminé, et partir du principe que des règles de présence locale pourraient revenir avec plus de vigueur que les directives de 2022.
Sécurité Internet
Le 6 octobre 2026, le Federal Bureau of Investigation des États-Unis et le United States Secret Service ont publié l'avis de cybersécurité conjoint JCSA-20261006-01 sur FortiBleed, une campagne active de compromission d'identifiants visant les pare-feu Fortinet FortiGate et les passerelles SSL VPN exposés sur Internet. SOCRadar a vérifié plus de 86,644 appareils compromis dans 194 pays. Les attaquants réutilisent des identifiants divulgués, pratiquent le stuffing et le spraying de mots de passe, cassent hors ligne les hachages d'administration SHA-256 hérités avec Hashcat et Hashtopolis, créent de nouveaux comptes administrateur et, dans certains cas, suppriment ou modifient les mots de passe administrateur existants afin que les opérateurs légitimes soient verrouillés. La chaîne FortiBleed a été observée comme vecteur d'accès initial pour des affiliés de rançongiciels, notamment INC/Lynx et Payload.
Les administrateurs de SSL VPN d'entreprise et auto-hébergés devraient supprimer la gestion exposée sur Internet lorsque c'est possible, clôturer toutes les sessions administrateur et VPN, réinitialiser les identifiants, imposer une MFA résistante au hameçonnage, basculer le stockage des mots de passe administrateur vers PBKDF2 et rechercher les comptes FortiGate non reconnus.
Via FBI IC3 / USSS JCSA-20261006-01
Fournisseurs
Le 7 octobre 2026, Surfshark a annoncé que son implémentation de WireGuard est désormais entièrement sécurisée post-quantique sur iOS et macOS, en ajoutant ML-DSA pour l'authentification en plus de l'échange de clés post-quantique ML-KEM déjà en place. L'entreprise indique que les deux normes NIST fondées sur les réseaux sont nécessaires pour contrer les menaces de type voler-maintenant-déchiffrer-plus-tard ainsi que les futures menaces quantiques en temps réel visant la poignée de main et l'authentification du serveur. La même approche à double norme alimente le protocole personnalisé Dausos de Surfshark sur macOS, d'autres plateformes étant prévues pour le déploiement de WireGuard post-quantique.
Si les poignées de main post-quantiques comptent pour vous, confirmez que la fonctionnalité est activée sur la version de votre système d'exploitation et ne présumez pas que les clients Android, Windows ou Linux ont déjà livré la même pile double ML-KEM plus ML-DSA.
Via Blog Surfshark
Mullvad a annoncé le 3 septembre 2026 qu'il fermera ses serveurs publics DNS-over-HTTPS chiffrés et soutiendra financièrement la Quad9 Foundation à la place. Les utilisateurs de Mullvad Browser avec les paramètres DoH par défaut seront migrés automatiquement ; quiconque a configuré manuellement le DoH de Mullvad doit changer avant le 2 novembre 2026, et les profils de configuration DoH Mullvad existants sur iOS et macOS cesseront de fonctionner et devront être remplacés par ceux de Quad9. Mullvad souligne que le trafic à l'intérieur du VPN Mullvad utilise déjà le DNS interne du fournisseur, le service DoH public étant principalement destiné à une utilisation dans le navigateur et hors VPN.
Avant le 2 novembre, remplacez tous les points de terminaison DoH Mullvad configurés manuellement et les profils de configuration Apple par Quad9 ; les utilisateurs du tunnel VPN ne sont pas concernés pour le DNS intra-tunnel.
Via Blog Mullvad
Technologie VPN
Le projet communautaire OpenVPN a publié OpenVPN 2.7.8 le 7 octobre 2026, une correction de bogues axée sur la sécurité. Les correctifs comprennent le refus des certificats contenant des octets NULL dans les sujets (CVE-2026-84790), la correction d'un underflow non signé lors de l'effacement de domain_search_list (CVE-2026-88964), et l'arrêt de l'expansion des variables de cmd.exe dans les arguments Windows entre guillemets (CVE-2026-84256). La mise à jour du pilote ovpn-dco-win fourni vers la v2.8.13 corrige CVE-2026-105390, une faille de verrouillage local qui pouvait provoquer un interblocage de l'hôte. Plus tôt dans la même série de versions, OpenVPN 2.7.7 le 3 septembre a corrigé CVE-2026-84732, un déni de service au niveau de la couche de fiabilité via des délais de retransmission TLS non bornés et des accusés de réception pour des paquets non en attente, affectant les versions 2.6.22 et 2.7.6.
Les déploiements OpenVPN auto-hébergés et sur appliances devraient passer rapidement à la version 2.7.8 ou à la branche 2.6.23 correspondante, en particulier les installations Windows MSI qui livrent le pilote dco-win.
Via Historique des versions de la communauté OpenVPN
Forums
Le 9 octobre 2026, le Tor Project a publié une déclaration communautaire expliquant qu'il poursuivra sa collaboration technique à périmètre étroitement limité avec Mullvad, après une diligence raisonnable interne comprenant des discussions communautaires, une enquête auprès du personnel, un examen par le conseil d'administration et une planification de scénarios financiers. Tor a indiqué que les préoccupations récentes concernant un don politique d'un cofondateur de Mullvad avaient suscité des appels à mettre fin à la relation. Le Project suspend le co-branding proactif, clarifie la façon dont le Mullvad Browser est décrit sur les canaux appartenant à Tor, et souligne que la collaboration doit servir la mission de droits humains de Tor sans impliquer une adhésion plus large à des valeurs.
Traitez Mullvad Browser et Tor Browser comme des produits apparentés mais gouvernés séparément ; ne considérez pas le travail technique conjoint comme une approbation globale après la pause de co-branding de Tor.