Разбор CVE-2026-88964 в OpenVPN: уязвимость через PUSH_UPDATE

Уязвимость CVE-2026-88964 в OpenVPN 2.7_alpha3–2.7.7 на Windows и Android срабатывает через опцию domain search в сообщении PUSH_UPDATE: целочисленное переполнение приводит к чтению за границей буфера и падению клиента. Исправление вышло в версии 2.7.8, обходных путей нет.

• Уязвимы сборки OpenVPN 2.7_alpha3–2.7.7 на Windows и Android
• Триггер — специально сформированные domain search в PUSH_UPDATE
• Исправление только в версии 2.7.8, workaround в advisory нет
• ZoomEye насчитала 2,18 млн хостов с app="OpenVPN"