¿Confía en que las actualizaciones de su software VPN lo mantienen protegido? ¿Cree que descargar la última versión lo protege de la mayoría de las amenazas conocidas?

Podría sorprenderle saber que existen posibles vulnerabilidades invisibles en su VPN de última generación. Esto se debe a que más de la mitad de los VPNs para Windows analizados incluyen código de OpenVPN que no se actualiza desde hace más de un año, lo que podría dejarle expuesto a una amplia gama de amenazas de seguridad y rendimiento.

OpenVPN es un protocolo que determina cómo se encripta y enruta la información entre el dispositivo del usuario y un servidor VPN. Gracias a su estatus de código abierto, se convirtió en el estándar de facto de la industria, sirviendo como base para muchos servicios VPN comerciales.

Sin embargo, dado que OpenVPN se desarrolla como un proyecto independiente de código abierto, los proveedores de VPN a menudo actualizan sus aplicaciones mientras dejan sin cambios el componente OpenVPN integrado. Nuevas interfaces, correcciones de errores y características importantes pueden llegar con regularidad, pero el código responsable de la conexión VPN fundamental puede estar sumamente desactualizado.

Cracking the kernel

Este julio, auditaron 32 clientes VPN para Windows, desde empresas multinacionales consolidadas hasta apps más pequeñas, antiguas y gratuitas, para revisar la versión de OpenVPN incluida en su versión más reciente.

Los resultados fueron impactantes. Un masivo 56% (18 de 32) utiliza una versión de OpenVPN anterior a un año; 41% (14) emplea configuraciones con más de dos años de antigüedad; 22% (7) confía en código con más de cuatro años; y un inquietante 12.5% (4) utiliza código con al menos cinco años de antigüedad.

No todos los proveedores son iguales. Probablemente, muchos de los mejores VPN —incluidos NordVPN, Windscribe y Proton VPN— emplean versiones de OpenVPN tan recientes como abril de 2026. En el extremo opuesto, Turbo VPN y VyprVPN siguen usando OpenVPN 2.4.7 de abril de 2019.

Podría parecer lógico que las empresas con mayores recursos inviertan más en mantener actualizada la base de código de la app. Sin embargo, usar versiones significativamente más antiguas de OpenVPN genera preocupaciones de privacidad y seguridad, independientemente de la escala de la empresa.

https://kwizly.com/embed/OoDa9X.js

Una variedad de riesgos ocultos

¿Realmente es para tanto?

Marijus Briedis, CTO de NordVPN, comenta a TechRadar: “Como cualquier proyecto, OpenVPN parchea vulnerabilidades, fortalece su código y mejora el rendimiento; una versión con años de retraso podría perder componentes de seguridad que las versiones actuales ofrecen”.

Jason Xu, desarrollador senior de apps en Windscribe, sostiene que vulnerabilidades previamente divulgadas podrían ser aún más graves, precisamente porque ya están documentadas. “Un atacante ni siquiera necesita encontrar un fallo nuevo; puede leer el registro de cambios”, señala.

OpenVPN publica regularmente CVEs (Vulnerabilidades y Exposiciones Comunes): seis vulnerabilidades en 2025, seis en 2024, una en 2023 y una en 2022. Esto significa que los proveedores con versiones más antiguas probablemente no adoptaron las correcciones de las versiones upstream que las contienen.

Por supuesto, los riesgos tienen matices. Ejecutar una versión antigua no significa necesariamente que una aplicación sea vulnerable a cada fallo recién descubierto. Por ejemplo, si una compilación anterior no incluye una función que luego causó una vulnerabilidad, podría no estar afectada.

La seguridad puede mantenerse mediante otros medios, como parches reintroducidos, correcciones del proveedor, mitigaciones de configuración y/o eliminación de funciones vulnerables. Sin embargo, el verdadero problema es cuando ninguno de esos mecanismos está implementado o no se sabe si lo están.

Los problemas pueden ser amplios y numerosos. Dependencias desactualizadas, como usar una versión antigua de OpenSSL, son solo algunos de los posibles problemas.

También existe un costo de mantenimiento más amplio. Según el Dr. Peter Membrey, Chief Research Officer de ExpressVPN, las versiones antiguas pueden volverse cada vez más difíciles de integrar con sistemas operativos y bibliotecas criptográficas modernos. “Estar varios años rezagado puede indicar una acumulación de deuda de seguridad, compatibilidad y operación”, afirma.

En última instancia, “cuanto más rezagada esté la versión, más difícil se vuelve cada actualización”, agrega Xu. “Esa es la trampa. Nadie decide estar cinco años atrás; simplemente siguen diciendo ‘siguiente trimestre’”.

Una cuestión de pila tecnológica

Adoptar una nueva versión de OpenVPN implica un cambio fundamental que requiere pruebas de compatibilidad entre plataformas, comprobaciones de regresión, implementaciones escalonadas y validación de que nada falla en la pila de software, un proceso que a menudo lleva meses completar.

Por ello, los proveedores de VPN dicen que no están obligados a adoptar cada versión upstream. NortonVPN, que está en proceso de migrar a la versión más reciente de OpenVPN en este momento, explica que cada actualización debe evaluarse y probarse cuidadosamente para garantizar beneficios claros sin introducir problemas de estabilidad, rendimiento o compatibilidad para los clientes.

De hecho, Karolis Kaciulis, Ingeniero Principal de Sistemas en Surfshark, coincide en que un retraso de seis a 18 meses puede ser razonable siempre que se aborden con prontitud las vulnerabilidades críticas.

Algunos proveedores que llevan más de dos años sin actualizar OpenVPN han citado motivos específicos para justificar el retraso. StrongVPN, por ejemplo, indica que el desarrollo de su protocolo interno propietario ha pospuesto la actualización a OpenVPN 2.7. Mientras tanto, ClearVPN afirma garantizar la seguridad aplicando sus propios parches de seguridad.

Por último, PureVPN sostiene que se mantiene con OpenVPN 2.6.12 porque ha desarrollado tecnologías personalizadas basadas en esa versión y porque OpenVPN 2.7 elimina el soporte para el controlador Wintun.

https://kwizly.com/embed/exVdmO.js

Hora de hacerlo tú mismo

Entonces, ¿qué se puede hacer? ¿Es momento de desconfiar de cualquiera que no use la versión más reciente de OpenVPN?

No necesariamente. Muchos proveedores ahora utilizan protocolos más nuevos como WireGuard por defecto, que normalmente se benefician de un mantenimiento más activo.

De hecho, varios proveedores están en proceso de eliminar gradualmente el soporte de OpenVPN a favor de protocolos más rápidos y ágiles. Proton VPN es uno de los que mantiene una de las compilaciones más recientes de OpenVPN en su app de Windows. Sin embargo, un portavoz señaló que con el tiempo “empezarán a eliminar gradualmente el soporte de OpenVPN en nuestras apps” manteniendo el protocolo en servidores para routers y dispositivos antiguos.

El portavoz también indicó que el protocolo es “lento y pesado” en comparación con los protocolos Stealth y WireGuard de Proton VPN, aunque OpenVPN sigue siendo “robustamente seguro”.

Así que, ya sea que esté utilizando una app con la configuración más reciente de OpenVPN o no, podría valer la pena cambiar de protocolo de todos modos.

Pero si realmente quiere saberlo, puede auditar su VPN revisando la configuración del cliente, los registros de diagnóstico o las notas de la versión oficiales para confirmar qué versión de OpenVPN está utilizando su proveedor y cuándo fue la última actualización.

Una señal de alerta clave es que dependencias de protocolo que tengan más de 12 a 18 meses sin una razón de seguridad o compatibilidad documentada podrían indicar que se han retrasado actualizaciones críticas.

Si aún tiene dudas, siempre puede ponerse en contacto con el equipo de soporte de su proveedor de VPN para obtener información más transparente sobre los plazos de actualizaciones de protocolo y parches de seguridad.

En última instancia, el riesgo para su seguridad puede ser limitado. Sin embargo, en el mundo de las VPNs, donde la atención al detalle en seguridad es la moneda de los proveedores, podría preguntarse: “¿Por qué no simplemente apoyar la opción más reciente y segura?”

Y la pregunta permanece…