El proyecto OpenVPN ha lanzado la versión 2.7.7, una actualización centrada en la seguridad que corrige siete vulnerabilidades. Estas fallas afectan tanto a la capa de fiabilidad del núcleo del software como a sus componentes de servicio específicos para Windows. La actualización, publicada el 3 de septiembre de 2026, soluciona problemas que incluyen condiciones de denegación de servicio (DoS), lecturas excesivas de búfer y omisiones de configuración que podrían permitir a atacantes ejecutar configuraciones de VPN no autorizadas.

El proyecto OpenVPN ha lanzado la versión 2.7.7, una actualización centrada en la seguridad que corrige siete vulnerabilidades distintas que afectan tanto a la capa de fiabilidad central del software como a sus componentes de servicio específicos de Windows.

La actualización, publicada el 3 de septiembre de 2026, soluciona problemas que van desde condiciones de denegación de servicio hasta lecturas excesivas de búfer (buffer overreads) y omisiones de configuración que podrían permitir a los atacantes ejecutar configuraciones de VPN no autorizadas.

La corrección con mayor impacto general, rastreada como CVE-2026-84732, se dirige a la capa de fiabilidad de OpenVPN, un componente responsable de gestionar los saludos (handshakes) TLS y los paquetes de confirmación.

El fallo combinaba dos errores independientes: un tiempo de espera de TLS fiable no acotado y un manejo incorrecto de las confirmaciones de paquetes que nunca podrían estar legítimamente pendientes. Ambos problemas fueron descubiertos por el investigador de seguridad Mark Bregman de Fox-IT y, dado que la capa de fiabilidad se comparte en todas las plataformas compatibles, la corrección beneficia por igual a las implementaciones en Linux, Windows y macOS.

Seis de las siete vulnerabilidades afectan específicamente a las instalaciones de Windows, lo que refleja cómo la arquitectura del servicio de OpenVPN para Windows había acumulado debilidades en casos límite.

OpenVPN corrige 7 fallos de seguridad

La CVE-2026-84256 implicaba un entrecomillado incorrecto de la línea de comandos en la función CreateProcess(), donde caracteres con un significado especial para cmd.exe podrían, en combinación con un script de validación y una autoridad de certificación fraudulenta, provocar un comportamiento inesperado.

Un fallo relacionado, la CVE-2026-84226, afectaba a la utilidad tapctl, que anteriormente invocaba netsh.exe sin especificar su ruta de archivo completa, un vacío que los investigadores de BreachX Zero Day Labs identificaron utilizando su herramienta Typhon AI Mil v2.

El abuso de privilegios locales también estaba sobre la mesa. La CVE-2026-82312 se derivaba del uso de listas de control de acceso discrecional (DACL) NULL en objetos del sistema, incluyendo el evento de salida del servicio y el semáforo de guardia de netsh.exe.

Este fallo de diseño permitía un escenario de denegación de servicio local en el que un usuario conectado podía interferir con la sesión de OpenVPN de otro usuario bloqueando el semáforo o provocando eventos espurios, aunque el problema solo se aplica a configuraciones que omiten el servicio interactivo o dependen del servicio automático de Windows.

Dos fallos adicionales de Windows afectaban a openvpnserv, el componente de servicio de Windows. La CVE-2026-78221 causaba una lectura excesiva de búfer cuando se procesaban nombres de dominio internacionalizados que utilizaban codificación UTF-8, debido a que el tamaño del dominio NRPT pasado a la función era incorrecto.

Por separado, la CVE-2026-78043 reveló que la validación de la ruta de configuración de openvpnserv no bloqueaba las barras diagonales (/), a pesar de que las API de apertura de archivos de Windows las tratan como separadores de ruta válidos. Este descuadre podría permitir que un atacante evadiera las restricciones administrativas y obligara a openvpn.exe a lanzar un archivo de configuración que nunca estuvo autorizado a ejecutar.

Para completar la lista, la CVE-2026-81738 corrigió un error de "desfase por uno" (off-by-one) en write_dhcp_search_str(), donde opciones de dominio de búsqueda DHCP especialmente diseñadas podrían desbordar un búfer temporal por un solo byte, un error atribuido a los investigadores Andre Kropp de Nexory y ChinhNguyen.

Más allá de las correcciones de CVE, OpenVPN 2.7.7 añade una mejora específica para Linux que valida las respuestas de netlink contra la solicitud original, una mejora sugerida por el investigador Joshua Rogers.

El lanzamiento también reduce el número de claves futuras conservadas bajo el formato de canal de datos EPOCH de dieciséis a cuatro, reduciendo el ruido en los registros y el uso de recursos en enlaces de alto rendimiento, junto con varias correcciones de errores de red que afectan a los saludos TCP, el manejo de sumas de comprobación UDP y la gestión de claves HMAC de OpenSSL.

Si administras OpenVPN en Windows, debes priorizar esta actualización dada la concentración de fallos de privilegios locales y omisión de configuración, mientras que todos los usuarios se benefician del parche de la capa de fiabilidad. Las notas de la versión y los detalles completos de las CVE están publicados en la página de anuncios de seguridad de la Wiki de la Comunidad OpenVPN.