O projeto OpenVPN disponibilizou a versão 2.7.7 do software, uma actualização focada na segurança que resolve 7 vulnerabilidades distintas. Este lançamento, que chegou aos utilizadores a 3 de Setembro de 2026, aborda problemas que variam desde condições de negação de serviço até leituras excessivas de memória e desvios de configuração. Segundo o site Cybersecurity News, estas falhas podiam permitir a execução de configurações não autorizadas por parte de atacantes, o que torna a instalação deste pacote uma prioridade para administradores de sistemas e empresas.
Impacto transversal e foco no Windows
A correcção com maior impacto global está identificada como CVE-2026-84732 e afecta a camada de fiabilidade do OpenVPN, um componente responsável por gerir as negociações TLS e os pacotes de reconhecimento. Esta falha combinava 2 erros separados, nomeadamente um tempo limite TLS não delimitado e o tratamento incorrecto de reconhecimentos para pacotes inválidos. Como esta camada é partilhada por todas as plataformas suportadas, a resolução beneficia as implementações em Linux, Windows e macOS. As restantes 6 vulnerabilidades afectam especificamente as instalações em Windows, o que reflecte a acumulação de fraquezas na arquitectura de serviços deste sistema operativo.
Detalhes técnicos das vulnerabilidades
Entre os problemas exclusivos do Windows, a falha CVE-2026-84256 envolvia citações incorrectas na linha de comandos da função CreateProcess, enquanto a vulnerabilidade CVE-2026-84226 afectava o utilitário tapctl, que invocava o executável de rede sem especificar o seu caminho completo. O abuso de privilégios locais também era possível através do erro CVE-2026-82312, originado pela utilização de listas de controlo de acesso nulas em objectos do sistema. Este defeito de concepção permitia que 1 utilizador bloqueasse a sessão de outro na mesma máquina. Adicionalmente, o componente de serviço do Windows sofria de uma leitura excessiva de memória ao processar domínios internacionalizados com codificação UTF-8, um problema catalogado como CVE-2026-78221.
Melhorias adicionais e optimização de recursos
A validação de caminhos de configuração também apresentava falhas, visto que o erro CVE-2026-78043 não bloqueava barras de divisão, o que permitia contornar restrições administrativas. Para fechar o leque de correcções de segurança, a falha CVE-2026-81738 resolveu um erro de transbordo de memória de 1 byte nas opções de pesquisa DHCP. Para além das correcções de segurança, a versão 2.7.7 adiciona uma melhoria específica para Linux que valida as respostas de rede face ao pedido original. A actualização reduz ainda o número de chaves futuras retidas no formato de canal de dados de 16 para 4, o que ajuda a diminuir o ruído nos registos e a poupar recursos em ligações de alto débito. Para garantir a máxima protecção e tirar partido destas optimizações, é fundamental aplicar boas práticas de navegação e explorar algumas recomendações essenciais para proteger a sua ligação privada.
