Regolamentazione
La liga di calcio spagnola LaLiga ha presentato una memoria di 14 pagine datata 10 settembre 2026 in cui chiede alla Commissione europea di aggiungere NordVPN, Proton VPN, ExpressVPN e Surfshark alla Counterfeit and Piracy Watch List 2027. Il deposito è stato inserito nella consultazione pubblica della Commissione svoltasi dall'11 giugno al 21 settembre 2026. LaLiga afferma che la richiesta riguarda il marketing deliberato e la promozione affiliata dell'elusione delle misure di blocco disposte dal tribunale, non la fornitura di servizi VPN in quanto tale. In precedenza, il 17 febbraio 2026, il Tribunale commerciale n. 1 di Córdoba ha concesso misure cautelari ex parte nei confronti di NordVPN e Proton VPN, imponendo loro di rendere inaccessibili dalla Spagna gli indirizzi IP forniti dalla parte attrice; a maggio lo stesso tribunale ha rifiutato di irrogare sanzioni coercitive nei confronti di NordVPN mentre il procedimento principale prosegue.
Se usi un marchio citato in Spagna o nell'UE, verifica se i messaggi destinati agli affiliati 'unblock sports' cambiano e se i blocchi IP spagnoli si estendono; l'elenco della Commissione è previsto per il T2 2027 e non costituisce di per sé un divieto legale.
Via BetaNews
Separatamente dalla spinta di questa settimana per la watch list dell'UE, un servizio del 3 luglio 2026 ha riferito che il governo indiano sta preparando un quadro giuridico più ampio per i fornitori VPN dopo che le direttive di CERT-In dell'aprile 2022 — che richiedono la conservazione per cinque anni di nomi, recapiti e indirizzi IP assegnati degli abbonati — non sono riuscite a ottenere la conformità dai principali marchi no-logs. I funzionari hanno discusso requisiti per un ufficio locale in India, responsabili della conformità designati e possibili pene detentive per i dipendenti locali, riprendendo elementi delle IT Rules, 2021. Proton VPN, NordVPN, ExpressVPN e Surfshark avevano già rimosso i server fisici in India e instradano il traffico indiano attraverso località come Singapore anziché archiviare gli ID obbligatori.
Gli acquirenti in India dovrebbero preferire i fornitori che documentano pubblicamente giurisdizione, registrazione dei log e modalità di instradamento del traffico indiano, e dovrebbero presupporre che le norme sulla presenza locale possano tornare con maggiore durezza rispetto alle direttive del 2022.
Sicurezza Internet
Il 6 ottobre 2026 il Federal Bureau of Investigation degli Stati Uniti e lo United States Secret Service hanno pubblicato l'avviso congiunto di cybersecurity JCSA-20261006-01 su FortiBleed, una campagna attiva di compromissione delle credenziali contro i firewall Fortinet FortiGate e i gateway SSL VPN esposti su Internet. SOCRadar ha verificato più di 86,644 dispositivi compromessi in 194 Paesi. Gli aggressori riutilizzano credenziali trapelate, effettuano stuffing e spraying delle password, eseguono il cracking offline degli hash amministrativi SHA-256 legacy con Hashcat e Hashtopolis, creano nuovi account amministratore e in alcuni casi eliminano o modificano le password degli amministratori esistenti in modo che gli operatori legittimi restino esclusi. La catena FortiBleed è stata osservata come percorso di accesso iniziale per affiliati ransomware tra cui INC/Lynx e Payload.
Gli amministratori di SSL VPN aziendali e self-hosted dovrebbero rimuovere ove possibile la gestione esposta su Internet, terminare tutte le sessioni amministrative e VPN, reimpostare le credenziali, imporre MFA resistente al phishing, passare l'archiviazione delle password amministrative a PBKDF2 e cercare account FortiGate non riconosciuti.
Via FBI IC3 / USSS JCSA-20261006-01
Fornitori
Il 7 ottobre 2026 Surfshark ha annunciato che la sua implementazione WireGuard è ora completamente sicura dal punto di vista post-quantistico su iOS e macOS, aggiungendo ML-DSA per l'autenticazione in aggiunta al precedente scambio di chiavi post-quantistico ML-KEM. L'azienda afferma che entrambi gli standard NIST basati su reticoli sono necessari per chiudere le minacce steal-now-decrypt-later e le future minacce quantistiche in tempo reale contro handshake e autenticazione del server. Lo stesso approccio a doppio standard alimenta il protocollo personalizzato Dausos di Surfshark su macOS, con altre piattaforme previste per il rollout di WireGuard post-quantistico.
Se gli handshake post-quantistici ti interessano, verifica che la funzione sia abilitata nella build del tuo sistema operativo e non dare per scontato che i client Android, Windows o Linux abbiano già ricevuto lo stesso stack duale ML-KEM più ML-DSA.
Il 3 settembre 2026 Mullvad ha annunciato che chiuderà i propri server pubblici DNS-over-HTTPS crittografati e supporterà invece finanziariamente la Quad9 Foundation. Gli utenti di Mullvad Browser con le impostazioni DoH predefinite verranno migrati automaticamente; chi ha configurato manualmente il DoH di Mullvad deve effettuare il passaggio prima del 2 novembre 2026, e i profili di configurazione DoH Mullvad esistenti su iOS e macOS cesseranno di funzionare e dovranno essere sostituiti con quelli Quad9. Mullvad sottolinea che il traffico all'interno della VPN Mullvad usa già il DNS interno del provider, quindi il servizio DoH pubblico era destinato principalmente all'uso nel browser e al di fuori della VPN.
Prima del 2 novembre, sostituisci eventuali endpoint DoH Mullvad configurati manualmente e i profili di configurazione Apple con Quad9; gli utenti del tunnel VPN non sono interessati per quanto riguarda il DNS in-tunnel.
Via Blog di Mullvad
Tecnologia VPN
Il progetto community OpenVPN ha rilasciato OpenVPN 2.7.8 il 7 ottobre 2026 come correzione di bug incentrata sulla sicurezza. Le correzioni includono il rifiuto di certificati con byte NULL nei subject (CVE-2026-84790), la correzione di un underflow unsigned durante la cancellazione di domain_search_list (CVE-2026-88964) e l'interruzione dell'espansione delle variabili di cmd.exe negli argomenti Windows tra virgolette (CVE-2026-84256). L'aggiornamento del driver ovpn-dco-win incluso alla v2.8.13 risolve CVE-2026-105390, un difetto di locking locale che poteva causare un deadlock dell'host. In precedenza nello stesso ciclo di rilascio, OpenVPN 2.7.7 del 3 settembre ha corretto CVE-2026-84732, un denial-of-service a livello di reliability-layer tramite timeout di ritrasmissione TLS illimitati e acknowledgement per pacchetti non outstanding, che interessava le versioni 2.6.22 e 2.7.6.
Le installazioni OpenVPN self-hosted e su appliance dovrebbero passare tempestivamente alla 2.7.8 o alla corrispondente linea 2.6.23, in particolare le installazioni Windows MSI che includono il driver dco-win.
Via Cronologia dei rilasci della community OpenVPN
Forum
Il 9 ottobre 2026 il Tor Project ha pubblicato una dichiarazione alla community in cui spiega che continuerà la collaborazione tecnica di ambito ristretto con Mullvad dopo una due diligence interna che ha incluso discussioni con la community, un sondaggio tra il personale, un esame del consiglio e una pianificazione di scenari finanziari. Tor ha dichiarato che le recenti preoccupazioni su una donazione politica di un cofondatore di Mullvad hanno suscitato richieste di porre fine al rapporto. Il Project sta sospendendo il co-branding proattivo, chiarendo come Mullvad Browser viene descritto sui canali di proprietà di Tor e sottolineando che la collaborazione deve servire la missione per i diritti umani di Tor senza implicare un'adesione più ampia ai suoi valori.
Tratta Mullvad Browser e Tor Browser come prodotti correlati ma governati separatamente; non interpretare il lavoro tecnico congiunto come un'approvazione generalizzata dopo la pausa del co-branding di Tor.