ExpressVPN, Windows istemcisinde keşfedilen kritik bir güvenlik açığını giderdi. Söz konusu hata, kullanıcıların Uzaktan Masaüstü Protokolü (RDP) üzerinden gerçekleştirdiği bağlantılarda gerçek IP adreslerinin VPN tünelini atlayarak ifşa olmasına yol açtı.
VPN Tünelini Atlayan Hata Gerçek IP’leri Sızdırdı
25 Nisan 2025 tarihinde “Adam-X” takma adlı bir güvenlik araştırmacısı tarafından bildirilen güvenlik açığı, VPN kullanıcılarının RDP üzerinden gerçekleştirdiği TCP bağlantılarını etkiledi. ExpressVPN yetkilileri, hata nedeniyle RDP trafiğinin VPN tünelinin dışına yönlendiğini doğruladı. Böylece kullanıcıların internet servis sağlayıcıları veya yerel ağ üzerindeki diğer kişiler tarafından eriştikleri uzak sunucular tespit edilebildi.
Şirketin açıklamasına göre, hata yalnızca RDP trafiğini etkiledi ve şifreleme sisteminde herhangi bir açık bulunmadı. Ancak VPN’in temel işlevi olan IP gizleme ilkesinin ihlal edilmesi, teknik açıdan ciddi bir zafiyet oluşturdu.
ExpressVPN, sorunun nedenini yazılım geliştirme sürecinde kullanılan test kodlarının üretim sürümünde yanlışlıkla bırakılması olarak açıkladı. Hata, 12.97 ile 12.101.0.2-beta sürümleri arasında etkili oldu. Söz konusu kod parçaları, yalnızca iç testler için tasarlanmıştı. Sorunun çözümü, 18 Haziran 2025 tarihinde yayınlanan 12.101.0.45 numaralı güncelleme ile sunuldu. ExpressVPN, Windows kullanıcılarına bu sürüme geçiş yapmalarını tavsiye ediyor.
Şirket yetkilileri, RDP protokolünün genellikle bireysel kullanıcılar tarafından tercih edilmediğini belirtti. Açığın çoğunlukla kurumsal kullanıcıları ya da uzaktan sistem yöneten kişileri etkilediği düşünülüyor. Bu nedenle genel kullanıcı kitlesinin etkilenme olasılığı düşük olarak değerlendiriliyor. ExpressVPN, sorunun daha geniş kitleleri etkilememesi için iç yazılım test süreçlerini yeniden yapılandıracağını ve otomasyon sistemlerini güçlendireceğini duyurdu.
ExpressVPN, geçtiğimiz yıl da Windows istemcisinde yer alan ‘bölünmüş tünelleme’ (split tunneling) özelliği nedeniyle DNS isteklerinin sızdırılması sorunu ile karşı karşıya kalmıştı. Şirket, hatayı geçici olarak özelliği devre dışı bırakarak çözmüş ve ilerleyen sürümlerde kalıcı düzeltme yayınlamıştı. Kullanıcıların veri gizliliği açısından güvenlik güncellemelerini yakından takip etmesi ve en güncel sürümleri kullanması büyük önem taşıyor.
