Un audit de 32 applications VPN pour Windows révèle que plus de la moitié d'entre elles embarquent une version d'OpenVPN vieille de plus d'un an. Certaines applications n'ont pas touché au protocole depuis 2019.
Une application VPN peut afficher une interface neuve tout en conservant, sous le capot, un moteur de chiffrement figé depuis des années. C'est ce que révèle cet audit, mené par nos confrères de Techradar, lequel qui pointe aussi une chaîne de vulnérabilités Windows.
Turbo VPN et VyprVPN toujours sur une version publiée en 2019
Turbo VPN et VyprVPN sont particulièrement pointés. Les deux services tournent toujours sur OpenVPN 2.4.7, publié en avril 2019. À l'inverse, NordVPN, Windscribe et Proton VPN intègrent des versions à jour, datées d'avril 2026.
Et ces mises à jour ne sont pas anodines. OpenVPN corrige régulièrement des failles, dont six en 2025, six en 2024, une en 2023, une en 2022. OpenVPN publie la liste de ses correctifs de sécurité. Un attaquant n'a donc pas besoin de trouver lui-même une faille. Il lui suffit de vérifier si l'application visée tourne encore sur une version antérieure à l'un de ces correctifs.
Des failles non comblées, parfois de manière assumée
Nous rapportions déjà, en juin 2025, plusieurs failles touchant OpenVPN sous Windows. L'une d'elles provoquait un plantage complet de l'ordinateur, sans donner accès aux données ni au système. Une autre série de failles permettait à un attaquant ayant déjà récupéré les identifiants d'un utilisateur d'obtenir les droits les plus élevés du système, ou d'exécuter du code avec ces mêmes privilèges.
Ces failles avaient été signalées par Microsoft, puis corrigées dans les versions 2.6.10 et 2.5.10 d'OpenVPN. Elles touchaient à la fois un service Windows lancé par OpenVPN et un pilote réseau utilisé pour créer la connexion VPN. Plus d'un an après ces correctifs, de nombreux fournisseurs n'ont toujours pas basculé vers une version corrigée, laissant ces mêmes failles exploitables.
Certains fournisseurs assument ce retard. PureVPN, par exemple, reste sur OpenVPN 2.6.12 pour préserver ses développements propriétaires et la prise en charge du driver Wintun, retiré en version 2.7. Proton VPN prend le chemin inverse : le service prévoit de retirer progressivement OpenVPN de ses applications, au profit de son protocole Stealth et de WireGuard, jugés plus légers.
