O OpenVPN 2.7.8, etiquetado por volta de 6–7 de outubro de 2026, corrige o CVE-2026-88964 — um underflow sem sinal no tratamento de pesquisa de domínio no Windows e Android que um servidor autenticado malicioso pode desencadear via PUSH_REPLY opções. Este tutorial explica como verificar o build do seu cliente, atualizar com segurança e confirmar o patch sem inventar flags de CLI que o seu pacote não inclui.
Por que esta atualização é importante
De acordo com a Aviso da wiki da comunidade OpenVPN para o CVE-2026-88964, as versões de 2.7_alpha3 até 2.7.7 estão afetadas no Windows e Android. Um servidor autenticado remoto pode causar negação de serviço ou divulgação de memória através de opções maliciosas de pesquisa de domínio. A correção é lançada na 2.7.8. Cobertura independente em Linux Compatible (7 de outubro de 2026) coloca o 88964 ao lado do CVE-2026-84790 (bytes NULL em assuntos de certificado), o endurecimento contínuo para o CVE-2026-84256 (aspas do cmd.exe no Windows) e uma alteração de robustez do tls-crypt-v2 sem um ID de CVE.
Nota de segurança: conecte-se apenas a servidores VPN em que você confia durante os testes. Um “servidor autenticado malicioso” no aviso significa um peer que já passou na autenticação — portanto, trate perfis .ovpn desconhecidos e aplicativos VPN aleatórios não confiáveis como fora do escopo deste guia. Não tente reproduzir o underflow contra servidores de produção.
Passo 1 — Identifique o que você realmente executa
- No Windows, abra o OpenVPN GUI ou o OpenVPN Connect e verifique Sobre / versão. As builds da comunidade frequentemente exibem uma string como
OpenVPN 2.7.x. - No Android, abra as informações do aplicativo do sistema do OpenVPN Connect ou da sua build do OpenVPN for Android e anote o código de versão exibido na Play Store ou no F-Droid.
- Se você usa o aplicativo de uma marca de VPN de terceiros, talvez não esteja no OpenVPN da comunidade — esses aplicativos incorporam suas próprias pilhas. Este guia é voltado para clientes no estilo OpenVPN da comunidade / OpenVPN Connect, não para wrappers proprietários.
Registre a string de versão exata antes de alterar qualquer coisa. Se você já estiver na 2.7.8 ou mais recente do ramo com correção de CVE, pode pular para a verificação em vez de reinstalar. Dispositivos gerenciados por empresas podem exigir um chamado de TI em vez de uma instalação local.
Passo 2 — Prefira pacotes do fornecedor a espelhos aleatórios
Baixe apenas dos canais que você já usa para o OpenVPN:
- Notas de lançamento oficiais da comunidade OpenVPN / canais de instalador referenciados em community.openvpn.net ReleaseHistory para 2.7.8.
- Atualizações da Google Play ou do F-Droid para o cliente Android que você já instalou nessas lojas.
- Catálogos de software empresarial que fixam checksums — não cole binários não assinados de tópicos de fóruns.
Verifique checksums ou metadados de assinatura quando a sua distribuição os fornecer. Recuse APKs modificados não oficiais e sideloads não assinados que afirmam ser OpenVPN; esses são inseguros e estão fora do âmbito das orientações práticas deste site.
Passo 3 — Atualizar clientes Windows
- Saia completamente da GUI do OpenVPN (ícone da bandeja → Sair) para que os arquivos não fiquem bloqueados.
- Instale a compilação Windows 2.7.8 (ou mais recente com correções) do seu canal confiável sobre a instalação existente, a menos que a sua organização exija primeiro uma desinstalação limpa.
- Reinicie se o instalador solicitar, especialmente quando os drivers TAP/Wintun forem atualizados.
- Reabra a GUI, carregue os seus perfis existentes e confirme que a caixa de diálogo About agora mostra 2.7.8+.
- Conecte uma vez a um servidor conhecido como confiável e verifique o log em busca de um PUSH_REPLY normal, sem falhas do cliente.
Se a sua frota usa OpenVPN DCO ou agentes gerenciados do Access Server, confirme que esses componentes são compatíveis com as correções de DCO e instance-restart da 2.7.8 antes da implantação em massa — Linux Compatible observa que várias alterações da 2.7.8 visam caminhos multi-cliente e de offload do kernel. Prepare um anel piloto antes da implantação ampla.
Passo 4 — Atualizar clientes Android
- Atualize via Play Store / F-Droid em vez de sideload sempre que possível.
- Após a atualização, abra o aplicativo uma vez no Wi-Fi, aceite quaisquer solicitações de permissão que já existiam para a vinculação do serviço VPN e confirme que a versão listada passou da 2.7.7 em builds da comunidade.
- Importe ou reselecione seu perfil, conecte-se e navegue em um site HTTPS simples para confirmar que o túnel está ativo.
- Se o aplicativo oferecer uma visualização de logs, confirme que não há um loop de falhas quando o servidor envia domínios de pesquisa DNS — a classe de bug que o CVE-2026-88964 aborda.
Etapa 5 — Verifique e reverta se necessário
- Mantenha o instalador ou APK anterior em um arquivo controlado para que você possa reverter se um perfil corporativo quebrar.
- Em ambientes com muitos certificados, lembre-se de que o CVE-2026-84790 faz com que as builds do OpenSSL recusem certificados com bytes NULL incorporados nos subjects — teste esses certificados antes do envio empresarial.
- Administradores Windows também devem observar o endurecimento contínuo do quoting do CreateProcess sob o CVE-2026-84256 ao criar scripts de ferramentas auxiliares em torno do OpenVPN.
Lista de verificação
- Confirme que a plataforma é Windows ou Android community OpenVPN na janela 2.7_alpha3–2.7.7.
- Atualize apenas a partir de canais confiáveis para 2.7.8+.
- Re-teste os perfis PUSH_REPLY / domínio de pesquisa DNS em servidores em que você confia.
- Documente as strings de versão para auditoria.
- Separe este patch do cliente de conselhos não relacionados sobre APKs modificados não oficiais — isso está fora do escopo e é inseguro.
Depois de confirmada a 2.7.8, trate a higiene de chaves tls-crypt-v2 e as varreduras de inventário de certificados como a próxima passagem operacional, em vez de assumir que um CVE encerra todos os riscos do OpenVPN no endpoint.