ExpressVPN یک آسیب‌پذیری را در نسخه ویندوزی کلاینت خود را اصلاح کرده که باعث می‌شد ترافیک مربوط به Remote Desktop Protocol (RDP) از تونل VPN عبور نکند و در نتیجه، آدرس آی‌پی واقعی کاربران در معرض افشا قرار گیرد. این مسئله یکی از اصول کلیدی عملکرد VPN را نقض می‌کرد، چرا که وظیفه اصلی آن، پنهان نگه‌داشتن موقعیت و هویت کاربران از طریق ماسک کردن آی‌پی است.
جزئیات آسیب‌پذیری ExpressVPN
ExpressVPN که یکی از معتبرترین ارائه‌دهندگان خدمات وی‌پی‌ان در سطح جهانی است و میلیون‌ها کاربر دارد، اعلام کرده در نسخه‌های اخیر کلاینت ویندوزی خود با یک نقص امنیتی مواجه بوده که به افشای ترافیک RDP منجر شده است. این سرویس به‌دلیل استفاده از سرورهای RAM-only (که هیچ‌گونه داده‌ای ذخیره نمی‌کنند) و پایبندی به سیاست سخت‌گیرانه‌ی «عدم ثبت لاگ»، شهرت بالایی در حفظ حریم خصوصی کاربران دارد.
در تاریخ ۲۵ آوریل ۲۰۲۵ یک پژوهشگر امنیتی با نام مستعار “Adam-X” از طریق برنامه باگ‌باونتی شرکت، نقص مذکور را برای نخستین‌بار گزارش کرد که موجب افشای ترافیک RDP و دیگر ترافیک‌های TCP منتقل شده از طریق پورت 3389 می‌شد. مشکل از آن‌جا ناشی می‌شد که بخشی از کدهای مخصوص تست داخلی به‌اشتباه در نسخه‌های نهایی نرم‌افزار باقی مانده بودند. این کدها از نسخه 12.97 تا نسخه بتای 12.101.0.2 وجود داشته‌اند.
در نتیجه، اگر کاربری از پروتکل RDP استفاده می‌کرد، ممکن بود ترافیک این اتصال به‌جای عبور از تونل رمزگذاری‌شده‌ی VPN، مستقیما از شبکه‌ی محلی ارسال شود. این به این معناست که ناظری مانند ISP یا فردی در همان شبکه می‌توانست نه‌تنها تشخیص دهد که کاربر از ExpressVPN استفاده می‌کند، بلکه حتی مقصد RDP او را نیز شناسایی کند.
انتشار پچ و توصیه امنیتی در مورد آسیب‌پذیری ExpressVPN
این نقص امنیتی در نسخه 12.101.0.45 که در تاریخ ۱۸ ژوئن ۲۰۲۵ منتشر شد، برطرف شده است. ExpressVPN تأکید دارد که رمزگذاری تونل VPN در تمام مدت دست‌نخورده باقی مانده و این مشکل صرفا در نحوه مسیریابی ترافیک RDP رخ داده است. از آن‌جا که پروتکل RDP عمدتا در محیط‌های سازمانی و توسط مدیران IT یا کاربران حرفه‌ای به‌کار می‌رود، این نقص احتمالا تعداد کمی از کاربران ExpressVPN را تحت تأثیر قرار داده است.
شرکت در بیانیه‌ی خود تأکید کرده که پایگاه کاربران آن عمدتا مصرف‌کنندگان فردی هستند و نه سازمانی، بنابراین سناریوهای نشت اطلاعات در عمل «کم‌خطر» ارزیابی می‌شوند. با این حال، برای اطمینان کامل، به کاربران توصیه می‌شود که هر چه سریع‌تر به نسخه جدید کلاینت ویندوزی ارتقا دهند.
گام‌های اصلاحی ExpressVPN
ExpressVPN اعلام کرده که برای جلوگیری از تکرار چنین باگ‌هایی در آینده، فرایندهای بررسی در مرحله ساخت نرم‌افزار را به‌صورت قابل‌توجهی تقویت خواهد کرد. این اقدامات شامل افزایش سطح خودکارسازی در تست‌های توسعه و کنترل‌های دقیق‌تر داخلی است. این نخستین‌بار نیست که ExpressVPN با چنین مشکلی مواجه می‌شود. سال گذشته نیز یک نقص در قابلیت “split tunneling” باعث نشت درخواست‌های DNS در کلاینت ویندوز شده بود. این قابلیت تا زمان انتشار نسخه اصلاح‌شده به‌صورت موقت غیرفعال شد.
