Jesper Bengtson
Att trycka uppdatera i din VPN-app räcker inte alltid, den inbyggda säkerhetskoden byts ofta inte ut.
Det visar en granskning som teknikmediet TechRadar har gjort av 32 Windows-VPN-klienter under juli 2026. Mer än hälften av apparna använder OpenVPN-versioner som är mer än ett år gamla, trots att själva appen har uppdaterats i vanlig ordning.
Konkret handlar det om att 56 procent av de granskade apparna, alltså 18 av 32, kör en OpenVPN-version som är äldre än ett år. 41 procent kör en konfiguration som är över två år gammal, 22 procent bygger på kod som är mer än fyra år gammal, och 12,5 procent, fyra av apparna, vilar på kod som är minst fem år gammal.
För en vanlig användare betyder det att en grön ikon i appbutiken och en färsk versionsstämpel inte säger något om huruvida själva krypteringsmotorn har fått årets säkerhetsrättelser.
Stora skillnader mellan leverantörerna
Skillnaderna mellan tjänsterna är påtagliga. Enligt granskningen använder NordVPN, Windscribe och Proton VPN OpenVPN-versioner så sena som april 2026, medan Turbo VPN och VyprVPN fortfarande bygger på OpenVPN 2.4.7 från 2019.
Att koden är gammal betyder inte automatiskt att en tjänst är osäker just nu, men det innebär att flera års buggrättelser, härdningar och prestandaförbättringar aldrig har landat i den version som skyddar användarens trafik. Marijus Briedis, teknikchef på NordVPN, säger i granskningen att en gammal version helt enkelt kan sakna moderna säkerhetskomponenter.
”Eftersom OpenVPN, precis som varje projekt, regelbundet lagar sårbarheter, härdar sin kodbas och förbättrar prestandan, kan en version som ligger flera år efter sakna säkerhetskomponenter som dagens uppdaterade versioner har”, säger Briedis till TechRadar.
Från Surfshark är tonen mer avvaktande. Karolis Kaciulis, ledande systemingenjör på företaget, menar att en fördröjning på sex till 18 månader kan vara rimlig, så länge kritiska sårbarheter åtgärdas snabbt när de dyker upp.
Kritisk bugg hittades i ny OpenVPN-version
Att gammal kod är ett reellt problem understryks av en oberoende säkerhetsgranskning som det tyska säkerhetsföretaget SRLabs offentliggjorde i april 2026. Granskningen av OpenVPN 2.7-kandidaterna hittade 18 sårbarheter, varav en bedömdes som kritisk: en enrads-logikinvertering i replay- och session-ID-kontrollen som gjorde det möjligt att slå ut OpenVPN-servrar utan autentisering. Felet hade legat i koden sedan maj 2022.
Alla viktiga rättelser fanns med när OpenVPN 2.7 släpptes, men bara i tjänster som faktiskt byter ut den underliggande koden vid en uppdatering. Enligt SRLabs visar granskningen att mogen kod inte är detsamma som säker kod, och att tidigare granskningar inte garanterar att inga kritiska hål finns kvar.
Så kontrollerar du din VPN, och vad du bör kräva
För svenska användare, som i hög grad använder VPN både för integritet i hemmet och för att skydda arbetsdatorer på distans, betyder detta att valet av leverantör spelar större roll än själva uppdateringsrutinen. Ett par saker är värda att göra.
Öppna leverantörens supportsidor eller ändringslogg och sök efter ”OpenVPN”-versionen som ingår i den senaste Windows-klienten. Ligger siffran flera versioner efter den aktuella 2.7-serien är det ett tecken på att bytet dröjer. Fråga också supporten rakt ut hur ofta de uppdaterar OpenVPN-komponenten, inte bara själva appen.
Många av de stora leverantörerna har samtidigt börjat trappa ner OpenVPN till förmån för det snabbare och nyare WireGuard-protokollet. Är WireGuard tillgängligt i din app är det oftast ett förstaval för både prestanda och underhåll, men även där gäller principen: en färsk appversion är ingen garanti för att den inbäddade koden är färsk.
