Den tyske sikkerhedsvirksomhed SRLabs har brugt 16 uger på at gennemgå kildekoden til OpenVPN 2.7, en af verdens mest udbredte VPN-protokoller. Resultatet blev offentliggjort af OpenVPN-projektet den 16. april 2026 og viser 18 sikkerhedsfund, heriblandt én kritisk fejl, der kunne lamme VPN-servere uden at en angriber først skulle logge ind. Fjorten af de 18 fund er allerede rettet, og ifølge revisionen forbliver selve krypteringen af brugertrafikken intakt. Det gør sagen til et usædvanligt eksempel på åbenhed i en branche, hvor de fleste udbydere sælger tryghed uden at vise koden bag den frem. For danske og nordiske brugere, der i stigende grad bruger VPN til arbejde, streaming og beskyttelse mod overvågning, rejser fundene et konkret spørgsmål: holder den protokol, størstedelen af markedet stadig bygger på?
SRLabs’ revision af OpenVPN 2.7: Hvad viste undersøgelsen
OpenVPN 2.7 var stadig i sin release candidate-fase, da SRLabs gik i gang med gennemgangen. Et hold på fire forskere brugte 16 uger på at læse, teste og angribe koden, finansieret af Sovereign Tech Agency og Open Technology Fund, to organisationer der støtter sikkerhedsarbejde i kritisk open source-infrastruktur. Ifølge SRLabs: “Over 16 weeks, our team of four researchers identified 18 issues in the release candidates for OpenVPN 2.7, of which all important ones were fixed in the v2.7 release.”
Fundene fordeler sig på fire alvorlighedsgrader. Én kritisk fejl. Fire fejl af middel alvor, hvoraf tre nu er rettet. Ni fejl af lav alvor, seks af dem lukket. Og fire informative observationer, tre af dem håndteret. Samlet set var 14 ud af 18 fund rettet, da OpenVPN 2.7 udkom officielt, ifølge projektets egen opsummering på bloggen. De resterende fire er enten anerkendt af udviklerne eller stadig under behandling, men ingen af dem klassificeres som akutte.
Den kritiske fejl: Et enkelt linjeskift kunne lamme VPN-servere
Det alvorligste fund lyder mindre dramatisk, end det er. SRLabs beskriver det selv sådan i sin rapport: “The critical issue was a one-line logic inversion in a replay/session-ID check that enabled unauthenticated denial of service against OpenVPN servers.” Med andre ord, en enkelt betingelse i koden var vendt om, så en kontrol, der skulle stoppe gensendte eller forfalskede sessions-id’er, i praksis gjorde det modsatte af, hvad den var designet til.
Fejlen krævede ingen godkendelse for at udnytte. En angriber kunne i teorien sende specielt udformede pakker mod en OpenVPN-server og få den til at gå ned eller stoppe med at svare, uden at kende et brugernavn, kodeord eller certifikat på forhånd. Det gør fejlen til en klassisk denial of service-sårbarhed snarere end et databrud. Ingen data blev læst, ændret eller dekrypteret af angriberen. For virksomheder, der er afhængige af en stabil VPN-forbindelse til fjernarbejde, kunne en vellykket udnyttelse dog have betydet nedetid, indtil serveren blev genstartet eller patchet.
// Forenklet illustration af fejltypen (ikke faktisk OpenVPN-kildekode)
if (!er_session_id_gyldigt(pakke)) {
afvis_pakke(pakke); // den korrekte logik
}
// Den fundne fejl havde betingelsen vendt om,
// saa ugyldige sessions-id'er blev accepteret i stedet for afvist.Sådan blev fejlene fundet: 16 uger, fire forskere og statsstøttet finansiering
Revisionen adskiller sig fra de fleste VPN-nyheder, læsere plejer at støde på. Det er ikke en udbyder, der får en tredjepart til at bekræfte sin no-logs-politik, som vi tidligere har set i bølgen af no-logs-audits hos flere kommercielle VPN-tjenester. Det er en direkte gennemgang af selve protokolkoden, som dusinvis af kommercielle VPN-tjenester bygger på. SRLabs har tidligere markeret sig med forskning i GSM-sikkerhed og analyser af kryptering i beskedtjenester, og virksomheden bruger den samme metode her: manuel kodegennemgang kombineret med målrettede angrebsforsøg mod funktioner som gensendelsesbeskyttelse, håndtryk og sessionshåndtering.
Finansieringen kom fra Sovereign Tech Agency, et tysk statsstøttet initiativ, der finansierer sikkerhedsarbejde i open source-projekter, samfundet er afhængigt af, samt Open Technology Fund. Modellen minder om, hvordan store open source-komponenter fik lignende gennemgange efter Heartbleed-sagen i 2014. Ifølge OpenVPN-projektets egen opsummering efterlod SRLabs desuden en auditinfrastruktur, som gør fremtidige gennemgange af koden hurtigere at udføre.
Alle 18 fund: Tabel over alvorlighedsgrad og status
Nedenfor ses den fulde fordeling af de 18 sikkerhedsfund, som OpenVPN-projektet selv har offentliggjort som en del af sin opsummering af revisionen.
| Alvorlighedsgrad | Antal fund | Rettet | Status på resterende |
|---|---|---|---|
| Kritisk | 1 | 1 | Ingen resterende |
| Middel | 4 | 3 | 1 åben, under behandling |
| Lav | 9 | 6 | 3 anerkendt, ikke hastende |
| Informativ | 4 | 3 | 1 anerkendt |
| Total | 18 | 14 | 4 fund følges fortsat af udviklerne |
Betyder det, at min VPN-trafik er usikker lige nu?
Det korte svar er nej, ifølge revisionen selv. Som det hedder i OpenVPN-projektets officielle opsummering af SRLabs’ konklusion: “We did not find any attacks against the OpenVPN transport security guarantees.” Det betyder, at ingen af de 18 fund gjorde det muligt for en angriber at dekryptere, aflytte eller manipulere den faktiske datatrafik, der sendes gennem en OpenVPN-tunnel.
Skellet er vigtigt at forstå. En kryptografisk svaghed ville ramme selve tilliden til protokollen, fordi den kunne lade en angriber læse indhold, der ellers skulle være beskyttet. En implementeringsfejl som den fundne DoS-sårbarhed rammer i stedet tilgængeligheden, altså om tjenesten overhovedet virker, ikke fortroligheden af det, der sendes gennem den. For almindelige brugere i Danmark, der bruger en VPN-app fra en kommerciel udbyder, er den praktiske konsekvens begrænset, forudsat at udbyderen har opdateret sin serverinfrastruktur til 2.7 med de rettede fejl. For virksomheder, der selv drifter OpenVPN-servere til fjernadgang, er billedet mere nuanceret, fordi ansvaret for at patche ligger hos dem selv.
OpenVPN’s sikkerhedshistorik: Fra 2020 til 2026
2026-fundene kommer ikke ud af det blå. OpenVPN har som ethvert modent softwareprojekt haft en løbende strøm af sårbarhedsrapporter gennem årene. I 2020 blev CVE-2020-15078 dokumenteret, en fejl der under bestemte omstændigheder kunne lække delvise oplysninger ved uautoriseret klientgenforbindelse. I 2021 fulgte CVE-2021-3547, og 2022 bragte flere fund på tværs af forskellige komponenter i økosystemet. I 2023 og 2024 fortsatte mønsteret med yderligere rettelser, og så sent som i 2025 blev en sårbarhed med en høj CVSS-score på 8,8 registreret i software relateret til OpenVPN.
Historikken viser et projekt, der bliver testet løbende, snarere end et projekt i krise. Det er faktisk et sundhedstegn. Et populært stykke sikkerhedskritisk software, der aldrig får rapporteret sårbarheder, er typisk software, ingen kigger grundigt på. SRLabs-revisionen adskiller sig ved at være en systematisk, betalt og offentliggjort gennemgang frem for enkeltstående fund rapporteret ad hoc af tilfældige forskere.
Sammenligningen med OpenSSL og Heartbleed-sagen fra 2014 er ikke tilfældig. Dengang afslørede en enkelt fejl i en meget udbredt krypteringsbibliotek, at store dele af internettets sikre forbindelser byggede på kode, ingen havde finansieret en grundig revision af. Reaktionen blev Core Infrastructure Initiative, der efterfølgende betalte for uafhængige gennemgange af kritisk open source-software. Den model, hvor eksterne organisationer finansierer revisioner af software, samfundet er afhængigt af, men ingen enkelt virksomhed ejer, er præcis den, Sovereign Tech Agency og Open Technology Fund nu har brugt på OpenVPN. Forskellen er, at OpenVPN-revisionen kom, før en kritisk fejl blev udnyttet i praksis, ikke bagefter.
OpenVPN mod WireGuard: Kampen om protokolstandarden
Revisionen kommer på et tidspunkt, hvor OpenVPN allerede er under pres fra en yngre konkurrent. WireGuard, der blev en del af Linux-kernen i 2020, markedsføres konsekvent som hurtigere og enklere at revidere, fordi kodebasen ifølge sammenlignende analyser fylder få tusinde linjer kode mod flere hundrede tusinde i OpenVPN. En mindre kodebase betyder færre steder, hvor en fejl som den nu fundne DoS-sårbarhed kan gemme sig, men det betyder ikke automatisk færre fejl i praksis, hvis man selv vil sætte en WireGuard-server op og sammenligne.
I 2026 er billedet, at WireGuard-baserede protokoller er blevet standard- eller anbefalet valg hos flere store kommercielle VPN-tjenester, mens OpenVPN i stigende grad rykker ned som et kompatibilitetsvalg til ældre enheder, virksomhedsopsætninger og netværk med restriktiv filtrering. OpenVPN har til gengæld over 20 år på bagen som den protokol, flest virksomheder har bygget deres fjernadgang omkring, og den understøttes stort set overalt. SRLabs-revisionen kan læses som et forsøg på at genvinde noget af den tillid, WireGuards enkelhed har vundet på markedsføringsmæssigt.
Hvilken protokol bruger de store VPN-udbydere?
De fleste store kommercielle VPN-tjenester har i dag flere protokoller at vælge imellem, men standardvalget varierer. Vi har tidligere sammenlignet protokolvalg og priser i vores gennemgang af Mullvad mod Proton VPN, og mønsteret går igen hos de fleste større udbydere.
| VPN-udbyder | Standardprotokol i 2026 | Understøtter OpenVPN |
|---|---|---|
| NordVPN | NordLynx (baseret på WireGuard) | Ja |
| ExpressVPN | Lightway (egen protokol) | Ja |
| Surfshark | WireGuard | Ja |
| Proton VPN | WireGuard / Stealth | Ja |
| Mullvad | WireGuard | Ja |
| CyberGhost | WireGuard | Ja |
| Private Internet Access | WireGuard | Ja |
Det interessante ved tabellen er, at stort set ingen af de store navne har droppet OpenVPN helt, selv når deres markedsføring fokuserer på en nyere protokol. Det tyder på, at OpenVPN fortsat opfattes som et nødvendigt sikkerhedsnet for brugere på netværk, hvor WireGuard blokeres eller filtreres, samt for virksomhedskunder, der endnu ikke har migreret deres infrastruktur.
GDPR og dansk lovgivning: Hvorfor protokolvalg er et complianceanliggende
For virksomheder, der behandler personoplysninger, er valget af VPN-protokol ikke kun et teknisk spørgsmål. GDPR’s artikel 32 kræver, at dataansvarlige og databehandlere implementerer passende tekniske foranstaltninger, der matcher risikoen, herunder løbende evaluering af, om sikkerhedsforanstaltninger fortsat er tidssvarende. En dokumenteret sårbarhed i en protokol, der bruges til fjernadgang til systemer med persondata, er præcis den type oplysning, en dataansvarlig bør kunne redegøre for at have handlet på. Vi har tidligere set, hvordan EU strammer kravene til VPN-sikkerhed generelt i vores gennemgang af den nye ETSI-sikkerhedsstandard for VPN.
Datatilsynet har gentagne gange peget på, at kryptering og sikker fjernadgang er centrale elementer i en organisations tekniske sikkerhedsniveau, og at manglende opdatering af kendte sårbarheder kan spille ind, hvis der senere sker et brud. Det europæiske agentur for cybersikkerhed, ENISA, arbejder ud fra samme logik: sikkerhed skal vurderes løbende, ikke som en engangsopgave. Det betyder i praksis, at danske virksomheder med OpenVPN-baseret fjernadgang bør have patchet til version 2.7 eller nyere og bør kunne dokumentere hvornår det skete, hvis de nogensinde skal redegøre for deres sikkerhedsniveau over for tilsynet.
Branchens reaktion: Åbenhed som tillidsstrategi
Hverken OpenVPN-projektet eller SRLabs har lagt skjul på fundene, tværtimod. OpenVPN-projektet skriver kort og godt: “The audit identified 18 issues in total across the codebase,” og valgte at offentliggøre den fulde rapport frem for kun en oversigt. SRLabs formulerer resultatet i samme åbne tone: “We found 18 issues in the release candidates of OpenVPN 2.7, including one critical logic flaw.”
Den strategi står i kontrast til, hvordan mange kommercielle softwareleverandører historisk har håndteret sikkerhedsfund, hvor detaljer ofte holdes tilbage af frygt for omdømmetab. For et open source-projekt som OpenVPN, der lever af tillid fra både individuelle brugere og de kommercielle VPN-tjenester, der bygger ovenpå det, er gennemsigtighed i praksis en konkurrenceparameter, ikke kun en formalitet. Ingen af de store kommercielle VPN-udbydere har udsendt separate erklæringer om revisionen, hvilket tyder på, at branchen betragter den som et OpenVPN-projekt-anliggende snarere end en krise, der kræver individuel kommunikation til kunderne. Det står i modsætning til, hvordan udbydere som NordVPN plejer at kommunikere aktivt om egne no-logs-audits, når resultaterne er positive for deres eget brand.
Markedspåvirkning: Hvad betyder det for nordiske virksomheder og brugere
For de fleste private VPN-brugere i Danmark og Norden ændrer revisionen ikke meget i hverdagen, så længe udbyderen holder sin serverinfrastruktur opdateret, hvilket de færreste brugere kan verificere selv. Det praktiske ansvar ligger hos udbyderne. For virksomheder er billedet anderledes. Danske organisationer omfattet af NIS2-direktivet, som trådte i kraft med skærpede krav til leverandørkæder og teknisk sikkerhed, skal kunne dokumentere, at de holder styr på sårbarheder i den software, deres netværksinfrastruktur bygger på, inklusive VPN-protokoller til fjernadgang.
Revisionen kan også påvirke indkøbsbeslutninger. Når en potentiel kunde i 2026 sammenligner VPN-løsninger til virksomhedsbrug, er det nu muligt at pege på en konkret, offentliggjort revision af OpenVPN 2.7 som dokumentation, noget WireGuard-baserede alternativer med mindre formaliserede revisionsspor ikke nødvendigvis kan matche på samme måde endnu. Samtidig styrker den korte tid, det tog OpenVPN-projektet at rette 14 ud af 18 fund før den officielle udgivelse, argumentet for, at protokollen fortsat vedligeholdes aktivt, hvilket er relevant for indkøbsafdelinger, der skal vurdere langsigtet leverandørrisiko.
Der er også en økonomisk side af sagen for de kommercielle VPN-udbydere selv. En kritisk sårbarhed, der lammer serverne i en periode, kan koste både supporttimer og abonnenter, hvis brugerne oplever ustabile forbindelser. Fordi fejlen blev fanget og rettet, før version 2.7 blev en officiel udgivelse, undgik udbyderne den situation. Det er værd at bemærke, at ingen af de større nordiske virksomheder eller offentlige institutioner, artiklen her har kunnet identificere offentlige kilder om, har rapporteret driftsforstyrrelser knyttet til de nu rettede fund. Det taler for, at koordinationen mellem SRLabs og OpenVPN-projektet fungerede efter hensigten, ved at holde de kritiske detaljer tilbage, indtil rettelserne var klar til udrulning.
SRLabs’ baggrund: Fra GSM-hacking til VPN-kodeaudits
SRLabs er ikke et nyt navn i sikkerhedsmiljøet. Det tyske firma har tidligere markeret sig med forskning i svagheder i GSM-mobilnetværk og sikkerheden omkring SIM-kort, samt analyser af kryptering i udbredte beskedtjenester. Den baggrund placerer OpenVPN-revisionen i en bredere tradition hos firmaet for at gennemgå infrastruktur, som store dele af den digitale kommunikation er afhængig af, fremfor enkeltstående apps eller websites.
Ifølge SRLabs’ egen beskrivelse af projektet efterlod holdet en auditinfrastruktur til OpenVPN-projektet, som gør det lettere at gentage lignende gennemgange fremover, hvilket peger på, at 2026-revisionen ikke nødvendigvis er den sidste. For et projekt med over to årtiers historik som byggesten i kommerciel og statslig VPN-infrastruktur er det en investering, der potentielt betaler sig tilbage i form af hurtigere opdagede fejl i fremtidige versioner.
Fem forudsigelser for VPN-sikkerhed i 2026 og 2027
- Markedsføring med revisionen som bevis: Flere kommercielle VPN-udbydere vil fremhæve SRLabs-revisionen i deres markedsføring som bevis på, at OpenVPN fortsat er en sikker underliggende protokol, selv når deres eget standardvalg er en anden protokol.
- WireGuard vinder fortsat terræn: WireGuard-baserede protokoller vil fortsætte med at vinde markedsandel som standardvalg hos nye VPN-tjenester, mens OpenVPN i stigende grad positioneres som et kompatibilitetsvalg.
- Flere statsstøttede revisioner: Flere open source-sikkerhedsprojekter vil søge finansiering fra organisationer som Sovereign Tech Agency og Open Technology Fund, efter at OpenVPN-modellen har vist sig at fungere.
- Skærpede krav fra NIS2-omfattede virksomheder: Danske og nordiske virksomheder omfattet af NIS2 vil i stigende grad kræve dokumentation for protokolrevisioner som en del af deres leverandørvurdering af VPN- og fjernadgangsløsninger.
- Flere revisioner af andre protokoller: Flere sikkerhedsfirmaer vil formentlig offentliggøre lignende revisioner af andre udbredte protokoller og biblioteker i løbet af 2026 og 2027, i takt med at revision som tillidsbevis bliver en stærkere norm i open source-miljøet.
Ofte stillede spørgsmål
Hvad er OpenVPN 2.7, og hvornår udkom det?
OpenVPN 2.7 er den nyeste hovedversion af den populære open source VPN-protokol og blev offentliggjort omkring april 2026, efter at have gennemgået en 16-ugers sikkerhedsrevision fra SRLabs som en del af udviklingsprocessen.
Skal jeg stoppe med at bruge min VPN på grund af revisionen?
Nej. Revisionen fandt ingen angreb mod selve krypteringen af trafikken, og de fleste kommercielle VPN-udbydere opdaterer løbende deres serverinfrastruktur. Det vigtigste, du som bruger kan gøre, er at holde din VPN-app opdateret til seneste version.
Hvad var den kritiske sårbarhed helt konkret?
En enkelt logisk fejl i en kontrol af gensendte sessions-id’er, som gjorde det muligt for en angriber uden godkendelse at forsøge at få en OpenVPN-server til at gå ned. Fejlen er rettet i version 2.7.
Hvem betalte for revisionen?
Sovereign Tech Agency og Open Technology Fund, to organisationer der finansierer sikkerhedsarbejde i kritisk open source-software, betalte for SRLabs’ 16-ugers gennemgang.
Er WireGuard mere sikkert end OpenVPN?
Der findes ikke et entydigt svar. WireGuard har en mindre kodebase, hvilket gør den lettere at revidere, men OpenVPN har nu fået en offentliggjort, ekstern revision, som WireGuard ikke i samme grad har fået på tilsvarende vis. Begge protokoller anses generelt for sikre, når de er korrekt implementeret og opdateret.
Hvordan ved jeg, om min VPN-udbyder bruger den rettede version?
De fleste større udbydere opdaterer deres serverinfrastruktur automatisk og informerer ikke altid brugerne direkte. Tjek udbyderens changelog eller supportside, eller kontakt deres support for at bekræfte, hvilken protokolversion de kører.
Gælder revisionen kun kommercielle VPN-tjenester?
Nej. Den gælder OpenVPN-protokollen i bred forstand, som også bruges af virksomheder, offentlige myndigheder og private brugere, der selv sætter en OpenVPN-server op, for eksempel til fjernadgang til hjemmenetværk eller virksomhedsnetværk.
Bliver der flere revisioner af OpenVPN i fremtiden?
SRLabs har ifølge OpenVPN-projektet efterladt en auditinfrastruktur, der skal gøre fremtidige gennemgange nemmere, hvilket tyder på, at flere revisioner er sandsynlige i takt med, at protokollen videreudvikles.
