Hoe OpenVPN te upgraden naar 2.7.8 na CVE-2026-88964

OpenVPN 2.7.8, getagd rond 6–7 oktober 2026, verhelpt CVE-2026-88964 — een unsigned underflow in de domain-search-afhandeling op Windows en Android die een kwaadwillende geauthenticeerde server kan triggeren via gemanipuleerde PUSH_REPLY opties. Deze handleiding legt uit hoe u uw clientbuild verifieert, veilig upgradet en de patch bevestigt zonder CLI-flags te verzinnen die uw pakket niet levert.

Waarom deze upgrade belangrijk is

Volgens het OpenVPN community wiki-advies voor CVE-2026-88964, versies van 2.7_alpha3 tot en met 2.7.7 zijn getroffen op Windows en Android. Een externe geauthenticeerde server kan denial of service of geheugendisclosure veroorzaken via kwaadaardige domain search-opties. De fix zit in 2.7.8. Onafhankelijke berichtgeving op Linux Compatible (7 oktober 2026) plaatst 88964 naast CVE-2026-84790 (NULL-bytes in certificaatsubjects), verdere hardening voor CVE-2026-84256 (Windows cmd.exe-quoting) en een tls-crypt-v2-robuustheidswijziging zonder CVE-ID.

Veiligheidsopmerking: verbind tijdens het testen alleen met VPN-servers die u vertrouwt. Een “kwaadwillende geauthenticeerde server” in het advies betekent een peer die al authenticatie heeft doorstaan — behandel onbekende .ovpn-profielen en willekeurige onvertrouwde VPN-apps daarom als buiten het bereik van deze handleiding. Probeer de underflow niet te reproduceren tegen productieservers.

Stap 1 — Bepaal wat u daadwerkelijk draait

1. Open op Windows de OpenVPN GUI of OpenVPN Connect en controleer Over / versie. Community-builds tonen vaak een tekenreeks zoals OpenVPN 2.7.x.
2. Open op Android de systeem-appinformatie van OpenVPN Connect of je OpenVPN for Android-build en noteer de versiecode die in Play Store of F-Droid wordt weergegeven.
3. Als je de app van een extern VPN-merk gebruikt, zit je mogelijk helemaal niet op community OpenVPN — die apps bevatten hun eigen stacks. Deze gids richt zich op community OpenVPN- / OpenVPN Connect-achtige clients, niet op propriëtaire wrappers.

Noteer de exacte versietekenreeks voordat je iets wijzigt. Als je al op 2.7.8 of nieuwer zit voor de CVE-gepatchte branch, kun je doorgaan naar verificatie in plaats van opnieuw te installeren. Bedrijfsbeheerde apparaten hebben mogelijk een IT-ticket nodig in plaats van een lokale installatie.

Stap 2 — Geef de voorkeur aan vendorpakketten boven willekeurige mirrors

Download alleen via kanalen die je al voor OpenVPN gebruikt:

• Officiële OpenVPN community-releasenotes / installatiekanalen waarnaar wordt verwezen vanaf community.openvpn.net ReleaseHistory voor 2.7.8.
• Google Play- of F-Droid-updates voor de Android-client die je al vanuit die stores hebt geïnstalleerd.
• Enterprise-softwarecatalogi die checksums vastzetten — plak geen ongetekende binaries uit forumthreads.

Verifieer checksums of handtekeningmetadata wanneer je distributie deze aanbiedt. Weiger onofficiële gewijzigde APK's en ongetekende sideloads die beweren OpenVPN te zijn; die zijn onveilig en vallen buiten de how-to-richtlijnen van deze site.

Stap 3 — Upgrade Windows-clients

1. Sluit de OpenVPN GUI volledig af (systeemvakpictogram → Exit) zodat bestanden niet vergrendeld zijn.
2. Installeer de 2.7.8 (of nieuwere gepatchte) Windows-build via je vertrouwde kanaal over de bestaande installatie, tenzij je organisatie eerst een schone de-installatie vereist.
3. Herstart als het installatieprogramma daarom vraagt, vooral wanneer TAP/Wintun-stuurprogramma's worden vernieuwd.
4. Open de GUI opnieuw, laad je bestaande profielen en bevestig dat het dialoogvenster About nu 2.7.8+ toont.
5. Maak eenmaal verbinding met een bekende, betrouwbare server en controleer het logboek op een normale PUSH_REPLY zonder clientcrashes.

Als je apparaatpark OpenVPN DCO of Access Server managed agents gebruikt, bevestig dan dat die componenten compatibel zijn met de DCO- en instance-restart-fixes van 2.7.8 vóór een grootschalige uitrol — Linux Compatible merkt op dat verschillende 2.7.8-wijzigingen zich richten op multi-client- en kernel-offloadpaden. Voer eerst één pilotgroep uit vóór brede uitrol.

Stap 4 — Upgrade Android-clients

1. Update via Play Store / F-Droid in plaats van sideloaden wanneer mogelijk.
2. Open de app na de update eenmaal via Wi-Fi, accepteer eventuele machtigingsprompts die al bestonden voor VPN-servicebinding, en bevestig dat de vermelde versie voorbij 2.7.7 is gegaan voor community-gebaseerde builds.
3. Importeer of selecteer opnieuw uw profiel, maak verbinding en open een eenvoudige HTTPS-site om te bevestigen dat de tunnel actief is.
4. Als de app een logweergave biedt, bevestig dat er geen crashlus optreedt wanneer de server DNS-zoekdomeinen pusht — de klasse bugs die CVE-2026-88964 aanpakt.

Stap 5 — Verifieer en draai indien nodig terug

• Bewaar het vorige installatieprogramma of de APK in een gecontroleerd archief, zodat u kunt terugdraaien als een bedrijfsprofiel stukgaat.
• Voor omgevingen met veel certificaten: onthoud dat CVE-2026-84790 ervoor zorgt dat OpenSSL-builds certificaten weigeren met ingesloten NULL-bytes in subjects — test die certificaten vóór een enterprise-push.
• Windows-beheerders moeten ook rekening houden met de voortgezette CreateProcess-quotinghardening onder CVE-2026-84256 bij het scripten van hulpprogramma's rond OpenVPN.

Checklist

1. Bevestig dat het platform Windows of Android community OpenVPN is in het venster 2.7_alpha3–2.7.7.
2. Upgrade alleen via vertrouwde kanalen naar 2.7.8+.
3. Test PUSH_REPLY- / DNS-zoekdomeinprofielen opnieuw tegen servers die u vertrouwt.
4. Documenteer versiestrings voor audit.
5. Scheid deze clientpatch van niet-gerelateerd advies over onofficiële gemodificeerde APK's — dat valt buiten de scope en is onveilig.

Nadat 2.7.8 is bevestigd, behandel sleutelhygiëne van tls-crypt-v2 en scans van de certificateninventaris als de volgende operationele ronde, in plaats van aan te nemen dat één CVE elk OpenVPN-risico op het eindpunt sluit.