Luka w ExpressVPN na Windowsa ujawniała prawdziwe adresy IP użytkowników
1. Odkrycie i kontekst
Pod koniec kwietnia 2025 r. badacz bezpieczeństwa, znany jako „Adam‑X”, zgłosił poważną lukę w aplikacji ExpressVPN dla systemu Windows. W raporcie przesłanym poprzez program bug bounty ujawniono, że ruch TCP przesyłany przez port 3389 – głównie protokół RDP – mógł omijać tunel VPN i ujawniać prawdziwe adresy IP użytkowników.
2. Przyczyna luki
Problematyczna wersja aplikacji zawierała fragmenty kodu debugującego używanego wewnętrznie, który przez pomyłkę trafił do publicznych wydań (wersje 12.97 do 12.101.0.2‑beta). Taki kod powodował, że ruch przez port 3389 nie był prawidłowo tunelowany przez VPN.
3. Skala zagrożenia
Ujawnienie dotyczyło tylko ruchu RDP (czyli TCP na porcie 3389) – ruch nie był tunelowany, co oznaczało, że operatorzy sieci czy dostawcy usług internetowych mogli zobaczyć zarówno prawdziwy adres IP użytkownika, jak i serwer docelowy. Eksperci ocenili jednak ryzyko jako niskie, ponieważ większość użytkowników nie korzysta z RDP – protokół ten używany jest głównie w środowiskach firmowych.
4. Reakcja ExpressVPN
Firma zareagowała bardzo szybko – zaledwie pięć dni po zgłoszeniu wdrożono aktualizację naprawiającą problem (wersja 12.101.0.45). Zespół potwierdził zamknięcie luki i formalne zakończenie incydentu pod koniec czerwca 2025 r.
5. Co naprawiono i rekomendacje
Naprawiono routing ruchu TCP przez port 3389, tak aby był poprawnie tunelowany przez VPN.
Żadne dane nie zostały złamane ani odszyfrowane – wyciek dotyczył tylko metadanych (czyli adresów IP i informacji o połączeniu).
ExpressVPN zapowiedział wzmocnienie procedur kontroli jakości: m.in. lepsze wykrywanie i blokowanie kodu debugującego przed publikacją.
Użytkownikom systemu Windows zaleca się natychmiastową aktualizację klienta do wersji 12.101.0.45 lub nowszej.
6. Wnioski
Incydent pokazuje, że nawet renomowane usługi VPN nie są wolne od błędów. Klienci powinni regularnie aktualizować oprogramowanie i monitorować informacje o zagrożeniach, szczególnie jeśli korzystają z zaawansowanych funkcji jak zdalny pulpit. ExpressVPN wykazało się transparentnością i szybkością działania, co należy uznać za pozytywny przykład zarządzania incydentem bezpieczeństwa.
