OpenVPN 2.7.9 schließt zwei Lücken im Windows-Dienst und härtet den Client
OpenVPN 2.7.9 ist seit dem 5. November 2026 verfügbar und schließt die Windows-Lücken CVE-2026-121720 und CVE-2026-115342 im interaktiven Dienst. Details und eine CVSS-Bewertung fehlen noch. Admins sollten das Update für Windows-Clients einplanen.
Das OpenVPN-Projekt hat am 5. November 2026 die Version 2.7.9 veröffentlicht. Das Update schließt zwei Sicherheitslücken im Windows-Dienst openvpnserv (CVE-2026-121720 und CVE-2026-115342), härtet die Windows-Version und weitere Teile des Codes und behebt einen Fehler, bei dem Teile überlanger Benutzernamen im Passwortfeld landeten.
Handlungsbedarf haben vor allem Admins, die den OpenVPN-Community-Client auf Windows-Rechnern oder Windows Servern verteilen. Solange keine Bewertung der Lücken vorliegt, empfiehlt die Redaktion, die neue Version im nächsten regulären Rollout einzuplanen. Die beiden CVEs betreffen laut Release-Notes nur Windows. Auf Linux bringt 2.7.9 Fehlerkorrekturen und Härtungen, aber keine eigene CVE.
Was ist passiert?
Die Release-Notes führen alle Sicherheitskorrekturen unter Windows. Der interaktive Dienst openvpnserv filtert jetzt benutzerdefinierte Umgebungsvariablen strikt, bevor er sie an openvpn.exe weitergibt (CVE-2026-121720). Außerdem prüft er die Befehlszeile robuster gegen Angriffe mit fehlerhaften Anführungszeichen, und openvpn.exe zerlegt die Befehlszeile nun mit derselben Windows-Funktion CommandLineToArgvW() wie der Dienst (CVE-2026-115342). Beide Probleme hat laut Projekt Heiko Hund gefunden.
Dazu kommen Härtungen: Plugins dürfen abhängige DLLs nur noch aus dem Plugin-, Programm- und Systemverzeichnis laden, und openvpn.exe läuft beim Start über den interaktiven Dienst mit hoher Integritätsstufe, sodass Prozessspeicher und Threads vor Manipulation geschützt sind. Plattformübergreifend gilt: Schlüsselmaterial, das Server-Secret für Auth-Tokens und dekodierte PEM-Schlüssel werden konsequenter aus dem Speicher gelöscht. Die Journaldatei von port-share wird nicht mehr über symbolische oder harte Links geschrieben.
Bei den Fehlerkorrekturen ist für viele Umgebungen die Anmeldung relevant: Wurden Zugangsdaten per --auth-user-pass aus einer Datei oder inline gelesen, konnten Teile eines überlangen Benutzernamens im Passwortfeld landen. Unter Windows behandelte der Dienst zudem per DHCP verteilte IPv6-DNS-Server fehlerhaft, außerdem war die Zugriffsprüfung für --extra-certs fehlerhaft.
Wer ist betroffen?
Die CVEs betreffen Windows-Installationen des Community-Clients, die den interaktiven Dienst nutzen. Das Projekt bietet Installer für x86-64, ARM64 und 32 Bit an, unterstützt ab Windows 10 einschließlich Windows Server. Ob Clients anderer Hersteller, die auf OpenVPN 2.x aufbauen, den gleichen Code enthalten, geht aus den Quellen nicht hervor.
Wie kritisch ist das?
Das lässt sich derzeit nicht belastbar sagen. Die Seite mit den Sicherheitsankündigungen führt beide CVEs als „November 2026“, Detailseiten mit Beschreibung und Bewertung gab es am 6. November noch nicht, eine CVSS-Bewertung ist nicht veröffentlicht. Da es um die Übergabe von Umgebungsvariablen und Befehlszeilen an einen Windows-Dienst geht, liegt nach Einschätzung der Redaktion ein lokaler Angriffsweg näher als ein Angriff aus dem Netz. Bestätigt ist das nicht. Die Quellen erwähnen keine Ausnutzung.
Was sollten Admins jetzt tun?
- Inventar: Auf welchen Windows-Rechnern ist der OpenVPN-Community-Client installiert, und in welcher Version?
- Das MSI-Paket 2.7.9 über die Softwareverteilung einspielen, zuerst in einer Testgruppe mit den eigenen Profilen und Plugins.
- Plugins prüfen: Lädt ein Plugin abhängige DLLs aus anderen Verzeichnissen, dürfte das nach dem Update nicht mehr funktionieren.
- Wer Zugangsdaten per
--auth-user-passmit langen Benutzernamen nutzt, sollte Anmeldungen nach dem Update testen. - Linux: 2.7.9 aus den Distributionspaketen übernehmen, sobald verfügbar.
- Die Sicherheitsankündigungen des Projekts beobachten, bis Details und Bewertung zu den CVEs vorliegen.
Einordnung für Unternehmen
OpenVPN veröffentlicht seit Monaten in kurzen Abständen Korrekturen für Windows-Komponenten wie Dienst, DCO-Treiber und Hilfsprogramme, die Liste der Sicherheitsankündigungen enthält allein seit Juli 2026 mehr als ein Dutzend Windows-Einträge. Wer den Client verteilt, fährt mit einem festen Update-Prozess besser als mit Einzelaktionen. Für neue Standortverbindungen oder Homeoffice-Zugänge lohnt außerdem der Vergleich mit WireGuard.
Passende Anleitungen auf S-EDV
- OpenVPN 2.7.8 korrigiert Zertifikats- und Windows-Probleme
- WireGuard-VPN für Homeoffice und Standortvernetzung einrichten
- Site-to-Site-VPN auf OPNsense: WireGuard vs. IPsec für dauerhafte Standortkopplung
