Regelgeving
De Spaanse voetbalcompetitie LaLiga diende een verzoekschrift van 14 pagina's in, gedateerd 10 september 2026, waarin de Europese Commissie werd gevraagd NordVPN, Proton VPN, ExpressVPN en Surfshark toe te voegen aan de Counterfeit and Piracy Watch List 2027. Het verzoek werd opgenomen in de openbare raadpleging van de Commissie die liep van 11 juni tot 21 september 2026. LaLiga stelt dat het verzoek gericht is op bewuste marketing en affiliate-promotie van het omzeilen van door de rechter bevolen blokkademaatregelen, niet op het aanbieden van VPN-diensten als zodanig. Eerder, op 17 februari 2026, kende handelsrechtbank nr. 1 van Córdoba ex parte voorzorgsmaatregelen toe tegen NordVPN en Proton VPN waarbij hen werd verplicht door de eiser verstrekte IP-adressen vanuit Spanje ontoegankelijk te maken; in mei weigerde dezelfde rechtbank dwangsommen tegen NordVPN terwijl de hoofdprocedure doorloopt.
Als u een genoemd merk in Spanje of de EU gebruikt, let erop of affiliategerichte 'unblock sports'-berichten veranderen en of Spaanse IP-blokkades worden uitgebreid; de lijst van de Commissie wordt verwacht in Q2 2027 en is op zichzelf geen wettelijk verbod.
Via BetaNews
Los van de EU-watchlist-push van deze week, meldde berichtgeving op 3 juli 2026 dat de Indiase regering een breder wettelijk kader voor VPN-aanbieders voorbereidt nadat de richtlijnen van CERT-In van april 2022—die vijf jaar bewaring van namen, contactgegevens en toegewezen IP-adressen van abonnees vereisen—er niet in slaagden naleving af te dwingen bij grote no-logs-merken. Ambtenaren bespraken eisen voor een lokaal kantoor in India, aangewezen compliance officers en mogelijke gevangenisstraffen voor lokale werknemers, in lijn met elementen van de IT Rules, 2021. Proton VPN, NordVPN, ExpressVPN en Surfshark hadden fysieke Indiase servers al verwijderd en leiden Indiaas verkeer via locaties zoals Singapore in plaats van de verplichte ID's op te slaan.
Kopers in India doen er goed aan aanbieders te verkiezen die jurisdictie, logging en de routing van Indiaas verkeer openbaar documenteren, en moeten ervan uitgaan dat regels voor lokale aanwezigheid kunnen terugkeren met scherpere tanden dan de richtlijnen van 2022.
Internetbeveiliging
Op 6 oktober 2026 publiceerden de U.S. Federal Bureau of Investigation en de United States Secret Service het gezamenlijke cybersecurityadvies JCSA-20261006-01 over FortiBleed, een actieve campagne voor het compromitteren van inloggegevens tegen internetgerichte Fortinet FortiGate-firewalls en SSL VPN-gateways. SOCRadar heeft meer dan 86,644 gecompromitteerde apparaten in 194 landen geverifieerd. Aanvallers hergebruiken gelekte inloggegevens, voeren password stuffing en password spraying uit, kraken verouderde SHA-256-beheerhashes offline met Hashcat en Hashtopolis, maken nieuwe beheerdersaccounts aan en verwijderen of wijzigen in sommige gevallen bestaande beheerderswachtwoorden zodat legitieme operators buitengesloten worden. De FortiBleed-keten is waargenomen als een initial-access-pad voor ransomware-affiliates, waaronder INC/Lynx en Payload.
Enterprise- en self-hosted SSL VPN-beheerders moeten internetbeheer waar mogelijk verwijderen, alle beheer- en VPN-sessies beëindigen, inloggegevens resetten, phishingbestendige MFA afdwingen, de opslag van beheerderswachtwoorden overzetten naar PBKDF2 en jagen op niet-herkende FortiGate-accounts.
Via FBI IC3 / USSS JCSA-20261006-01
Leveranciers
Op 7 oktober 2026 kondigde Surfshark aan dat de WireGuard-implementatie nu volledig post-kwantumveilig is op iOS en macOS, met toevoeging van ML-DSA voor authenticatie bovenop de eerdere post-kwantum-sleuteluitwisseling ML-KEM. Het bedrijf stelt dat beide op roosters gebaseerde NIST-standaarden nodig zijn om steal-now-decrypt-later en toekomstige realtime kwantumdreigingen tegen handshake- en serverauthenticatie te dichten. Dezelfde dubbele-standaardaanpak drijft het eigen Dausos-protocol van Surfshark op macOS, met extra platforms gepland voor de post-kwantum-uitrol van WireGuard.
Als post-kwantum-handshakes voor u van belang zijn, controleer of de functie is ingeschakeld op uw OS-build en ga er niet van uit dat Android-, Windows- of Linux-clients dezelfde dubbele ML-KEM- plus ML-DSA-stack al hebben uitgebracht.
Via Surfshark-blog
Mullvad kondigde op 3 september 2026 aan dat het de openbare versleutelde DNS-over-HTTPS-servers zal sluiten en in plaats daarvan de Quad9 Foundation financieel zal steunen. Gebruikers van Mullvad Browser met de standaard DoH-instellingen worden automatisch gemigreerd; wie Mullvad DoH handmatig heeft geconfigureerd, moet vóór 2 november 2026 overstappen, en bestaande iOS- en macOS-configuratieprofielen voor Mullvad DoH werken niet meer en moeten worden vervangen door Quad9-alternatieven. Mullvad benadrukt dat verkeer binnen Mullvad VPN al de interne DNS van de provider gebruikt, dus de openbare DoH-dienst was vooral bedoeld voor browser- en niet-VPN-gebruik.
Vervang vóór 2 november alle handmatige Mullvad DoH-eindpunten en Apple-configuratieprofielen door Quad9; gebruikers van een VPN-tunnel blijven onaangetast voor DNS in de tunnel.
Via Mullvad-blog
VPN-technologie
Het OpenVPN community-project heeft op 7 oktober 2026 OpenVPN 2.7.8 uitgebracht als een op beveiliging gerichte bugfix. De fixes omvatten het weigeren van certificaten met NULL-bytes in subjects (CVE-2026-84790), het corrigeren van een unsigned underflow bij het wissen van domain_search_list (CVE-2026-88964) en het stoppen van variabelenexpansie van cmd.exe in Windows-argumenten tussen aanhalingstekens (CVE-2026-84256). De meegeleverde update van het ovpn-dco-win-stuurprogramma naar v2.8.13 verhelpt CVE-2026-105390, een lokale vergrendelingsfout die een host in een deadlock kan brengen. Eerder in dezelfde releasereeks verholp OpenVPN 2.7.7 op 3 september CVE-2026-84732, een denial-of-service in de reliability-laag via onbegrensde TLS-hertransmissietime-outs en acknowledgements voor niet-uitstaande pakketten, van invloed op 2.6.22 en 2.7.6.
Zelfgehoste en appliance-implementaties van OpenVPN moeten snel overstappen naar 2.7.8 of de bijbehorende 2.6.23-lijn, vooral Windows MSI-installaties die het dco-win-stuurprogramma meegeleverd krijgen.
Via OpenVPN community ReleaseHistory
Forums
Op 9 oktober 2026 publiceerde het Tor Project een communityverklaring waarin het uitlegt dat het de nauw afgebakende technische samenwerking met Mullvad zal voortzetten na interne due diligence die communitydiscussies, een personeelsenquête, een bestuursreview en financiële scenariplanning omvatte. Tor zei dat recente zorgen over een politieke donatie van een Mullvad-medeoprichter hebben geleid tot oproepen om de relatie te beëindigen. Het Project pauzeert proactieve cobranding, verduidelijkt hoe Mullvad Browser wordt beschreven op kanalen van Tor, en benadrukt dat samenwerking de mensenrechtenmissie van Tor moet dienen zonder een bredere goedkeuring van waarden te impliceren.
Behandel Mullvad Browser en Tor Browser als verwante maar afzonderlijk bestuurde producten; lees gezamenlijk technisch werk niet als een algehele goedkeuring na de cobrandingpauze van Tor.
Via Tor Project-blog