OpenVPN 2.7.9 corrige vulnerabilidades e melhora rede no Linux

OpenVPN 2.7.9 oferece correções de segurança importantes para Windows, melhorias no suporte e estabilidade no Linux, além de ajustes que tornam a autenticação e o gerenciamento de conexões mais seguros e eficientes. Atualizar para esta versão garante uma VPN mais protegida e confiável para usuários em diferentes plataformas.

A equipe responsável pelo projeto OpenVPN lançou, em 5 de novembro de 2026, a versão 2.7.9 de seu software de VPN de código aberto. A atualização concentra-se principalmente em correções de segurança para o Windows, mas também inclui melhorias importantes para o funcionamento da rede no Linux, ajustes no processo de autenticação e diversas correções relacionadas à estabilidade e ao gerenciamento de memória.

Entre os destaques estão as correções das vulnerabilidades CVE-2026-121720 e CVE-2026-115342, ambas relacionadas ao funcionamento do serviço do OpenVPN no Windows. No Linux, a novidade mais relevante é o suporte à sinalização IFF_BACKPRESSURE, que permite ao kernel lidar melhor com pacotes recebidos quando o espaço de usuário não consegue processá-los com rapidez suficiente.

Embora seja classificada como uma versão de manutenção, a atualização reúne mudanças que interessam tanto a administradores de servidores VPN quanto a usuários que utilizam o programa para estabelecer conexões seguras.

OpenVPN 2.7.9 corrige duas vulnerabilidades de segurança no Windows

As duas vulnerabilidades identificadas nesta versão estão relacionadas ao modo como o OpenVPN executa comandos e processa informações no Windows. Os problemas envolvem o serviço interativo, componente responsável por iniciar e controlar processos do programa com as permissões necessárias.

A primeira falha, identificada como CVE-2026-121720, está associada ao tratamento de variáveis de ambiente definidas pelo usuário. Antes da correção, o serviço do OpenVPN não filtrava essas informações de maneira suficientemente rigorosa antes de encaminhá-las ao executável principal.

Variáveis de ambiente são valores utilizados pelo sistema operacional e pelos programas para armazenar configurações e informações necessárias durante a execução. Como podem influenciar o comportamento de um processo, é importante validar cuidadosamente os dados recebidos de fontes externas ou de usuários.

Na versão 2.7.9, o serviço passou a aplicar uma filtragem mais rigorosa dessas variáveis antes de transmiti-las ao openvpn.exe. A medida reduz a possibilidade de que valores inadequados interfiram na execução do programa.

A segunda vulnerabilidade, CVE-2026-115342, envolve a interpretação de argumentos da linha de comando. O problema estava relacionado ao tratamento de parâmetros com aspas inválidas ou malformadas.

A interpretação incorreta de argumentos pode fazer com que um programa entenda os parâmetros de maneira diferente daquela pretendida pelo administrador. Em determinadas circunstâncias, isso pode abrir espaço para manipulações na forma como um processo é iniciado.

Para corrigir o problema, os desenvolvedores reforçaram a validação dos argumentos recebidos pelo serviço interativo. Além disso, o executável principal passou a utilizar a mesma função de interpretação de linha de comando adotada pelo serviço do Windows: CommandLineToArgvW().

A padronização é importante porque evita diferenças de interpretação entre os componentes responsáveis por receber e executar os comandos. Com ambos utilizando o mesmo mecanismo, diminui a possibilidade de que um argumento seja validado de uma maneira pelo serviço e interpretado de outra pelo programa principal.

Outras medidas reforçam a segurança dos processos no Windows

Além das duas vulnerabilidades com identificadores CVE, o OpenVPN 2.7.9 introduz outras medidas de proteção para instalações Windows.

Uma delas limita os locais de onde as dependências DLL dos plugins podem ser carregadas. A partir desta versão, essas bibliotecas devem ser procuradas nos diretórios do próprio plugin, do aplicativo ou do sistema.

Essa restrição ajuda a reduzir riscos relacionados ao carregamento de bibliotecas não confiáveis. Em sistemas Windows, um programa pode depender de arquivos DLL para executar determinadas funções. Se a busca por essas bibliotecas ocorrer em diretórios inadequados, existe a possibilidade de carregar um arquivo malicioso que tenha sido colocado em um local acessível ao processo.

Outra mudança diz respeito ao nível de integridade dos processos. Quando o openvpn.exe é iniciado pelo serviço interativo, ele passa a ser executado com nível de integridade elevado. Segundo os desenvolvedores, isso protege a memória do processo e suas threads contra tentativas de adulteração.

Os sinais e eventos necessários à comunicação entre os componentes continuam permitidos. Assim, a alteração procura reforçar a proteção do processo sem impedir os mecanismos de controle utilizados pelo próprio OpenVPN.

Em conjunto, essas mudanças tornam mais rigorosa a inicialização de processos, a validação de argumentos e o carregamento de bibliotecas no Windows.

Linux ganha suporte a IFF_BACKPRESSURE para melhorar o tráfego de rede

Embora as correções de segurança estejam concentradas no Windows, usuários Linux também recebem uma melhoria relevante.

O OpenVPN 2.7.9 passa a ativar a flag IFF_BACKPRESSURE quando ela está disponível no sistema. O recurso permite que o kernel utilize mecanismos de priorização de pacotes, incluindo disciplinas de enfileiramento, conhecidas como queuing disciplines ou Qdisc.

Para compreender a importância dessa mudança, é necessário observar como o OpenVPN trabalha com interfaces de rede virtuais.

No Linux, o programa utiliza interfaces TUN ou TAP para transportar o tráfego entre o sistema e a conexão VPN. A interface TUN trabalha principalmente com pacotes IP, enquanto a TAP opera com quadros Ethernet. Essas interfaces permitem que o tráfego seja encaminhado pelo túnel VPN como se estivesse passando por uma interface de rede convencional.

Parte desse processamento depende da comunicação entre o kernel e o espaço de usuário, onde o processo do OpenVPN executa suas operações.

O problema aparece quando o processo não consegue consumir os pacotes recebidos na mesma velocidade em que o kernel os entrega. Sem o tratamento adequado, os pacotes podem ser descartados quando o sistema não consegue processá-los a tempo.

Com a flag IFF_BACKPRESSURE, o kernel recebe uma indicação de que existe uma limitação no processamento pelo espaço de usuário. Isso permite aplicar mecanismos de priorização e gerenciamento de filas para lidar melhor com a situação.

Na prática, a mudança pode ajudar a reduzir perdas de pacotes em condições de sobrecarga ou lentidão no processamento. O benefício depende, naturalmente, da disponibilidade do recurso no kernel e das características da configuração de rede utilizada.

Correção no processamento de credenciais

A atualização também resolve um problema relacionado à leitura de nomes de usuário e senhas.

O erro afetava configurações que utilizavam a opção --auth-user-pass, responsável por indicar um arquivo com credenciais ou fornecer essas informações diretamente na configuração.

Quando o nome de usuário ultrapassava o tamanho esperado, parte dos caracteres excedentes podia acabar sendo interpretada como conteúdo do campo de senha.

Esse comportamento poderia provocar falhas na autenticação e dificultar a identificação do problema, especialmente em ambientes com configurações automatizadas.

Na versão 2.7.9, o processamento dessas informações foi corrigido para impedir que partes de nomes de usuário muito longos sejam incorporadas ao campo destinado à senha.

Interface de gerenciamento recebe melhoria nas solicitações de senha

Outra alteração interessante envolve a interface de gerenciamento do OpenVPN, utilizada por clientes gráficos e outras ferramentas para controlar conexões.

Em determinadas situações, um arquivo de configuração já contém o nome de usuário, mas não possui a senha. Quando o OpenVPN precisa solicitar a credencial que falta, a interface de gerenciamento anteriormente não recebia essa informação de maneira adequada. Como resultado, alguns clientes gráficos podiam solicitar novamente tanto o nome de usuário quanto a senha.

Agora, o OpenVPN pode incluir o nome de usuário existente na solicitação de senha. Com isso, uma interface compatível pode preencher automaticamente o campo de usuário e pedir somente a senha que está faltando.

O recurso depende do nível de compatibilidade 6 ou superior da interface de gerenciamento. Portanto, seu funcionamento também exige que o cliente gráfico utilizado ofereça suporte a essa capacidade.

Mais correções de estabilidade, memória e criptografia

O OpenVPN 2.7.9 inclui ainda uma série de correções menores, mas importantes para a confiabilidade do programa.

No Windows, foram resolvidos problemas de vazamento de memória no serviço, tratamento de informações não inicializadas e liberação incorreta de recursos em determinadas situações de erro. Também houve ajustes no tratamento de servidores DNS IPv6 fornecidos por DHCP.

A saída de informações sobre gateways de rede foi corrigida. Embora o tratamento das rotas estivesse funcionando, os dados de ROUTE_GATEWAY e ROUTE6_GATEWAY não eram exibidos corretamente nos registros. A atualização restaura essa informação.

Outro ajuste corrige a verificação de acesso aos arquivos utilizados pela opção --extra-certs, que permite especificar certificados adicionais.

Na área criptográfica, os desenvolvedores reforçaram a limpeza de informações sensíveis da memória. Isso inclui material de chaves, segredos utilizados por tokens de autenticação e dados de certificados decodificados no formato PEM.

Essas medidas reduzem o tempo durante o qual informações confidenciais podem permanecer disponíveis na memória após deixarem de ser necessárias.

A versão também corrige o tratamento de listas de revogação de certificados (CRL), melhora a segurança dos arquivos de registro utilizados pelo recurso de compartilhamento de portas e evita que esses arquivos sejam gravados por meio de links simbólicos ou links físicos.

Por fim, foram incluídos ajustes de compatibilidade com o OpenSSL 4.1 e uma alteração no gerenciamento de interfaces de rede Linux: ao atualizar interfaces existentes, o código passa a utilizar RTM_SETLINK em vez de RTM_NEWLINK.

Para obter mais informações, consulte o changelog.

Como obter o OpenVPN 2.7.9

O OpenVPN 2.7.9 está disponível no site oficial do projeto, incluindo o pacote de código-fonte e instaladores para diferentes arquiteturas do Windows.

Usuários Linux devem verificar a disponibilidade da versão nos repositórios de suas distribuições. Como a atualização pode levar algum tempo para chegar aos canais oficiais de cada sistema, a versão instalada pode variar conforme a distribuição e sua política de atualização.

Para administradores que utilizam OpenVPN em ambientes Windows, a instalação da versão corrigida é especialmente recomendável devido às duas vulnerabilidades de segurança resolvidas. Já no Linux, a atualização traz melhorias no tratamento do tráfego TUN/TAP e correções adicionais de estabilidade.

No geral, o lançamento 2.7.9 é uma atualização de manutenção importante. Mesmo sem introduzir uma grande funcionalidade voltada ao usuário final, fortalece a segurança do serviço, melhora o gerenciamento de pacotes no Linux e corrige problemas que podem afetar a autenticação e a confiabilidade das conexões VPN.