規制
スペインのサッカーリーグLaLigaは、2026年9月10日付の14ページの意見書を提出し、欧州委員会にNordVPN、Proton VPN、ExpressVPN、Surfsharkを2027年偽造品および海賊行為ウォッチリストに追加するよう求めた。この提出は、2026年6月11日から9月21日まで実施された委員会のパブリックコンサルテーションに組み入れられた。LaLigaは、この要請の対象はVPNサービスそのものの提供ではなく、裁判所命令によるブロッキング措置の回避を意図的にマーケティングし、アフィリエイトで宣伝している点だと述べている。それ以前の2026年2月17日、コルドバ商事裁判所第1部がNordVPNおよびProton VPNに対し、申立人が提供したIPアドレスをスペインからアクセス不能にするよう、一方的保全措置を認めた。5月、同裁判所は本案訴訟が継続する中、NordVPNに対する強制金を却下した。
スペインまたはEUで指名されたブランドを利用している場合、アフィリエイト向けの'unblock sports'メッセージが変わるか、スペインのIPブロックが拡大するかを注視すること。委員会のリストは2027年第2四半期に予定されており、それ自体は法的禁止ではない。
経由 BetaNews
今週のEUウォッチリスト推進とは別に、2026年7月3日の報道によると、インド政府はVPN事業者向けにより広範な法的枠組みを準備している。CERT-Inの2022年4月の指令（加入者の氏名、連絡先、割り当てIPアドレスの5年間保持を義務付ける）が、主要なノーログブランドからの遵守を得られなかったためである。当局は、インド国内事務所の設置、指定コンプライアンス担当者、現地従業員への禁錮刑の可能性といった要件を議論しており、IT Rules, 2021の要素を反映している。Proton VPN、NordVPN、ExpressVPN、Surfsharkはすでにインド国内の物理サーバーを撤去し、義務付けられたIDを保管する代わりに、シンガポールなどの拠点経由でインド向けトラフィックをルーティングしている。
インドの購入者は、管轄、ログ記録、インド向けトラフィックのルーティング方法を公開文書化しているプロバイダーを優先し、現地拠点ルールが2022年の指令よりも厳しい形で再導入される可能性を想定すべきである。
インターネットセキュリティ
2026年10月6日、米連邦捜査局および合衆国シークレットサービスは、インターネットに面したFortinet FortiGateファイアウォールおよびSSL VPNゲートウェイを標的とする進行中の認証情報侵害キャンペーンFortiBleedに関する共同サイバーセキュリティ勧告JCSA-20261006-01を公表した。SOCRadarは194か国にわたる86,644台超の侵害済みデバイスを確認している。攻撃者は漏洩した認証情報を再利用し、パスワードのスタッフィングおよびスプレーを行い、HashcatとHashtopolisでレガシーなSHA-256管理者ハッシュをオフラインで解読し、新たな管理者アカウントを作成し、場合によっては既存の管理者パスワードを削除または変更して正規運用者を締め出す。FortiBleedチェーンは、INC/LynxおよびPayloadを含むランサムウェアアフィリエイトの初期侵入経路として確認されている。
企業およびセルフホストのSSL VPN管理者は、可能な限りインターネット経由の管理を廃止し、すべての管理者セッションおよびVPNセッションを終了し、認証情報をリセットし、フィッシング耐性のあるMFAを強制し、管理者パスワードの保存をPBKDF2に切り替え、認識できないFortiGateアカウントを調査すべきである。
経由 FBI IC3 / USSS JCSA-20261006-01
ベンダー
2026年10月7日、Surfsharkは、iOSおよびmacOS上のWireGuard実装が完全に耐量子安全になったと発表し、従来のML-KEM耐量子鍵交換に加えて認証向けML-DSAを追加した。同社によれば、ハンドシェイクおよびサーバー認証に対する「今盗んで後で復号する」攻撃と将来のリアルタイム量子脅威を封じるには、NISTの格子ベース標準の両方が必要である。同じデュアル標準アプローチがmacOS上のSurfshark独自プロトコルDausosを支えており、耐量子WireGuardの展開は他のプラットフォームにも予定されている。
耐量子ハンドシェイクを重視する場合は、お使いのOSビルドで当該機能が有効になっていることを確認し、Android、Windows、Linuxクライアントが同じML-KEMとML-DSAのデュアルスタックをすでに提供していると想定しないでください。
Mullvadは2026年9月3日、公開の暗号化DNS-over-HTTPSサーバーを停止し、代わりにQuad9 Foundationを資金面で支援すると発表した。デフォルトのDoH設定を使用しているMullvad Browserの利用者は自動的に移行される。手動でMullvad DoHを設定した利用者は2026年11月2日までに切り替える必要があり、既存のiOSおよびmacOS向けMullvad DoH構成プロファイルは動作を停止するため、Quad9用の代替が必要になる。Mullvadは、Mullvad VPN内のトラフィックはすでにプロバイダー内部DNSを使用しているため、公開DoHサービスは主にブラウザおよび非VPN用途向けだったと強調している。
11月2日までに、手動設定したMullvad DoHエンドポイントおよびApple構成プロファイルをQuad9に置き換えてください。VPNトンネル利用者のトンネル内DNSは影響を受けません。
経由 Mullvad ブログ
VPN技術
OpenVPNコミュニティプロジェクトは2026年10月7日、セキュリティ重視のバグ修正としてOpenVPN 2.7.8をリリースした。修正内容には、サブジェクトにNULLバイトを含む証明書の拒否（CVE-2026-84790）、domain_search_listをクリアする際の符号なしアンダーフローの修正（CVE-2026-88964）、引用符で囲まれたWindows引数におけるcmd.exeの変数展開の停止（CVE-2026-84256）が含まれる。同梱のovpn-dco-winドライバーをv2.8.13へ更新し、ホストをデッドロックさせうるローカルロック欠陥CVE-2026-105390に対処している。同じリリース系列では先に、9月3日のOpenVPN 2.7.7がCVE-2026-84732を修正した。これは信頼性レイヤーにおけるサービス拒否で、上限のないTLS再送タイムアウトと未了でないパケットに対する確認応答が原因であり、2.6.22および2.7.6に影響する。
自己ホストおよびアプライアンスのOpenVPN導入環境は、速やかに2.7.8または対応する2.6.23系統へ移行すべきです。特にdco-winドライバーを同梱するWindows MSIインストールでは急務です。
フォーラム
2026年10月9日、Tor Projectはコミュニティ声明を発表し、コミュニティでの議論、スタッフ調査、理事会レビュー、財務シナリオ計画を含む内部デューデリジェンスを経て、Mullvadとの限定的な技術協力を継続すると説明した。Torは、Mullvad共同創業者による政治献金に関する最近の懸念が、関係解消を求める声につながったと述べた。プロジェクトは積極的な共同ブランディングを一時停止し、Tor所有チャネルにおけるMullvad Browserの説明方法を明確化するとともに、協力はより広い価値観の支持を意味することなく、Torの人権ミッションに資するものでなければならないと強調している。
Mullvad BrowserとTor Browserは関連しているが、それぞれ独立して運営される製品として扱うこと。Torが共同ブランディングを一時停止した後は、共同の技術作業を包括的な支持と解釈しないこと。