Säkerhetsjournal.

Sårbarheten CVE-2026-98432 i Linux-kärnan är åtgärdad

En sårbarhet, CVE-2026-98432, hittades i hur Linux-kärnan hanterar inkommande TCP-anslutningar. Den påverkar Linux-servrar oavsett vilken tjänst de kör.

Kärnorna på plattformens servrar och på partners aktiva VPN-servrar med systemversioner som stöds har uppdaterats till en version med korrigeringen.

Samordnade gränser för det offentliga supportformuläret

En rapport från Parth Narula visade att det med en annan e-postadress gick att skicka extra förfrågningar via vårt offentliga supportformulär. Vi har samordnat formulärets gränser, så en annan adress ger inte längre extra förfrågningar. Tack för den ansvarsfulla rapporteringen.

Åtkomsten till supportgränssnittet har begränsats

En extern forskare uppmärksammade att supportgränssnittet var åtkomligt från internet. Gränssnittet krävde autentisering; inga tecken på obehörig åtkomst eller exponering av användardata har upptäckts.

Vi har tagit bort supportsystemet från den publika ytan: åtkomst tillåts endast från betrodda adresser och via en intern kanal. Gränssnittets inställningar har anpassats till den domän som används, och begränsningen har kontrollerats från ett externt nätverk.

Returadressen har begränsats till panelens sidor

En säkerhetsforskare upptäckte att den interna returadressen efter återställning av en session kunde tolkas av webbläsaren som en navigering till en extern webbplats. Scenariot krävde en giltig session och gav inte åtkomst till kontot eller data.

Returadressen väljs nu från en sluten lista över interna sidor. Alla andra värden leder till panelens startsida. Åtgärden täcks av automatiska negativa tester.

DMARC-tillämpning aktiverad

En säkerhetsforskare upptäckte att DMARC-policyn för createyourvpn.com endast kördes i övervakningsläge och inte krävde att meddelanden som misslyckades med verifieringen avvisades. Vi aktiverade p=reject för huvuddomänen och sp=reject för dess underdomäner som inte skickar e-post. Transaktionspost är fortsatt isolerad på separata avsändarunderdomäner med egna SPF-, DKIM- och DMARC-policyer.

MTA-STS och TLS-rapportering aktiverat

En säkerhetsforskare upptäckte att MTA-STS och TLS-rapportering inte var konfigurerade för inkommande e-post på createyourvpn.com. Vi publicerade en MTA-STS-policy och aktiverade TLS-rapportering. Policyn körs först i testläge medan vi kontrollerar tredjepartens vidarebefordringsväg; tillämpning aktiveras efter felfria rapporter.

Kontroll över kontosessioner tillagd

En säkerhetsforskare upptäckte att en kopia av ett partnersessionstoken kunde förbli aktiv efter utloggning om den hade förnyats separat. Vi flyttade sessionerna till en gemensam serveridentitet: utloggning återkallar nu hela den aktuella sessionen, medan ”Logga ut överallt” avslutar alla aktiva sessioner.

I panelen har avsnittet ”Kontosessioner” lagts till. Där visas aktuella inloggningar med enhet, IP-adress, inloggningstid och senaste aktivitet, samt historiken över lyckade och misslyckade inloggningsförsök de senaste 90 dagarna. Varje session kan avslutas separat, eller alla på en gång.

Enabled DNSSEC

A researcher found that DNSSEC was not enabled for createyourvpn.com. We signed the DNS zone, published the DS record in .com, and verified the chain of trust.

Starkare skydd för det offentliga supportformuläret

Säkerhetsforskaren 0xVicky upptäckte att vårt offentliga supportformulär kunde missbrukas för att skicka alltför många förfrågningar. Vi har lagt till gränser per besökare och för den totala trafiken, skyddat formulärets interna inskickskanal och stärkt kontrollen av bilagor. Tack för den ansvarsfulla rapporteringen.

Sessionshantering och utskick av inloggningskoder

Efter rapporter från en extern forskare har vi gått igenom två angränsande områden: livscykeln för en partnersession och vägen som e-postmeddelandet med inloggningskoden tar. Ingen av iakttagelserna gav åtkomst till konton, partnerdata eller användartrafik.

Säkerhetsheaders på butikssidorna

Partnernas butiker skickade inte de säkerhetsheaders som panelen och API:et redan skickade — däribland den som hindrar andra webbplatser från att visa sidan i en ram. Kontouppgifter eller sessioner gick inte att läsa den vägen. Hela uppsättningen följer nu med varje svar från butikerna, och påståendet SR-15 namnger varje frontend vi driftar.

Användaren kan återställa sin prenumerationslänk själv

En prenumerationslänk är en hemlighet: den som har den får samma åtkomst som ägaren. Användaren kan återställa den själv i sitt konto — den tidigare länken slutar fungera och uppgifterna bakom den utfärdas på nytt. En länk som stängts på detta sätt förblir stängd, även när data återställs från en säkerhetskopia.

E-postadresser till butikernas användare sparas inte längre

En person skriver in sin e-postadress för att logga in i en partners butik, men adressen blir inte kvar hos oss: mejlet med koden går iväg och adressen raderas direkt. Kontot känns igen på ett oåterkalleligt avtryck som adressen inte kan återskapas ur, och kontonamnet innehåller den inte heller.

Åtkomsten till panelen för infrastrukturhantering har begränsats

En extern forskare rapporterade att ett administrationsgränssnitt för infrastrukturen svarade från det publika internet. Gränssnittet var skyddat med inloggning och inga spår av obehörig åtkomst hittades. Rapporten godtogs och åtkomsten begränsades.

Gränssnittet är nu åtkomligt endast från godkända adresser, kraven på autentisering har skärpts och berörda komponenter uppdaterats. Resultatet verifierades utanför vårt nät. Vi gick dessutom igenom vår publika yta och införde en regelbunden kontroll av den. Belöningen betalades ut på högsta nivån.

Tog bort en oanvänd auktoriseringsväg i partner-API:et

API:et stödde en extra cookie-baserad auktoriseringsväg som den nuvarande server-side-arkitekturen inte behövde. Ingen cross-site-attack hittades i production, men den extra vägen vidgade ytan för framtida misstag. API:et använder nu en enda, uttryckligen definierad auktoriseringsmetod, täckt av negativa tester.

Garanterad rensning av hanteringsnyckeln efter borttagning av server

Rensningen av den krypterade hanteringsnyckeln kördes efter nätverksoperationer i bakgrunden och kunde utebli om dessa operationer misslyckades. Vi frikopplade nyckelrensningen från nätverkskaskaden och lade till ett garanterat nytt försök. Scenarierna med onåbar server och avbruten process täcks av tester.

Plattformens kryptografiska nycklar åtskilda efter syfte

En intern granskning fann att en enda hemlighet användes för två olika kryptografiska uppgifter. Detta skapade ingen direkt kringgång, men vidgade konsekvenserna av en nyckelkompromettering. De två syftena har åtskilts och vart och ett roteras nu oberoende.

Minskade den publika ytan för production-API:et

Interaktiv teknisk API-dokumentation var åtkomlig utan autentisering. Den gav ingen åtkomst till skyddade data, men gjorde det lättare att studera API:ets interna struktur. I production är dokumentationen nu inaktiverad, samtidigt som den förblir tillgänglig i en isolerad miljö för utveckling.

Lade till skydd mot osäker cross-origin-konfiguration

Den nuvarande production-konfigurationen tillät inte godtyckliga origins, men koden tillät en farlig kombination av parametrar om en operatör konfigurerade den fel. Den kombinationen avvisas nu vid start och täcks av ett automatiserat test.

Intern granskning före programmets lansering

Den 15 juli 2026 inledde vi en intern säkerhetsgranskning av CreateYourVPN. De rättningar vi har slutfört och verifierat på nytt publiceras nedan; fler följer i takt med att de driftsätts och bekräftas.