Software-update: OPNsense 26.7.3

Het pakket OPNsense is een firewall met uitgebreide mogelijkheden. Het is gebaseerd op het besturingssysteem FreeBSD en is oorspronkelijk een fork van m0n0wall en pfSense. Het pakket kan volledig via een webinterface worden ingesteld en heeft onder andere ondersteuning voor mfa, OpenVPN, IPsec, CARP en captive portal. Daarnaast kan het packetfiltering toepassen en beschikt het over een traffic shaper. De ontwikkelaars achter OPNsense hebben de derde update voor versie 26.7 uitgebracht en de releasenotes voor die uitgave kunnen hieronder worden gevonden.

OPNsense 26.7.3 released

Here is your biweekly dose of bugfixes and quality of life improvements! This update offers several new features: VLANs on bridges, "received-on" firewall rule support, persistent rule label tracking, repeatable WireGuard QR codes, menu favourites and full screen grid support. On top of that it bundles the recent FreeBSD 15.1-RELEASE-p3, fixes and cleanups as well as third party updates such as OpenSSL 3.5.8 and OpenSSH 10.5p1. Enjoy. :)

Meanwhile, development is busy with adding interface settings to the new MVC assignments page, which includes building wireless MVC/API support. That is all for now. Need to get back to work.

Here are the full patch notes:

• system: offer post-quantum mldsa44-ed25519 OpenSSH server host key
• system: do not regenerate all OpenSSH key files when adding new key types
• system: truncate long names in services dashboard widget
• system: use created user name for change event
• system: handle missing objects during deletion in API
• system: multiple PHP warning fixes
• system: avoid filter_configure() calls to make existing backend call less obscure
• system: add favorites section to menu
• system: approximate user being expired for the grid view icon
• system: replace cron restart in static PHP pages
• system: fix server certificate purpose detection for EC
• interfaces: permit a VLAN device as bridge member
• interfaces: resolve VLAN devices indirectly via interfaces_configure()
• interfaces: handle missing GRE and GIF during deletion in API
• interfaces: multiple PHP warning fixes
• interfaces: emit discovered hosts sorted by last_seen via hostwatch
• captive portal: exclude IPv4 from roaming logic
• dhcrelay: add options for circuit_id and remote_id
• dnsmasq: remove count badge from GroupBy with static configuration elements
• dnsmasq: add "expand-hosts" option
• firewall: remove 2a10::/12 from bogonsv6.sample
• firewall: deprecate old rule register function names due to functional overlaps
• firewall: add missing TLS ports to well-known ports
• firewall: use new "rlabel" from pfctl for persistent rule identification across reloads
• firewall: emit gateway debug message in block rules only when gateway is not empty
• firewall: aliases: use same dynamic label as in KEA DHCPv6 for a unified look
• firewall: aliases: fix spinner on alias dialog save button
• firewall: destination NAT: make local-port numeric before applying range in registered firewall rule
• firewall: rules: add "received-on" interface keyword as interface origin option
• firewall: rules: promote "statetype" from advanced to common option for "received-on" usage
• firmware: revoke 26.1 fingerprint
• kea: remove count badge from GroupBy with static configuration elements
• kea: use DOM construction for the "dynamic" label
• network time: strict security GUI support
• unbound: update Hagezi blocklists to use new mirror URL
• wireguard: FreeBSD 15 no longer allows addresses without netmasks
• wireguard: cleaner QR codes
• wireguard: preserve peer generator state for existing peers
• mvc: BaseField: add getInitialValue()
• mvc: OptionField: fix simplified option group definition
• mvc: fix typo in base_form.volt advanced/help toggle IDs
• mvc: fix assorted stale imports in the code base
• ui: tabulator: add _showMaximized() modal that can show a grid close to full screen
• ui: add keyboard shortcut "f" to maximize a currently visible grid
• ui: scope "all help" and "advanced mode" toggle to closest relevant form
• ui: trigger "h" and "a" keyboard shortcuts on all relevant matches
• plugins: os-caddy 2.2.1
• plugins: os-frr 1.55
• plugins: os-theme-rebellion 1.9.7
• src: posixshm: fix a TOCTOU race in the FIOSSHMLPGCNF handler
• src: tty: revalidate after dropping the tty lock in ioctl handlers
• src: ppp: fix multiple vulnerabilities
• src: openssl: fix multiple vulnerabilities
• src: cred: fix group_is_primary()
• src: dsp: fix a potential use-after-free in dsp_oss_syncstart()
• src: unix: fix some bugs in the SOCK_STREAM receive path
• src: hwpmc: fix the execve handler
• src: ucode: fix validation on Intel platforms
• src: netmap: fix driver name handling
• src: netmap: fix a race in kqueue registration
• src: e1000: assorted upstream patches from stable/15
• src: iflib: support recoverable initialization failure
• src: route: add an eventhandler for rt_numfibs changes
• src: rawip: fix handling of checksums in rip6_input()
• src: pf: attempt to handle overlapping group and interface names
• src: pf: check if a group has a kif before dereferencing it
• src: pf: fix fallout from the STATE_LOOKUP macro removal
• src: pf: re-optimize state key handling
• src: pf: rule label patch was merged from a wrong version
• src: pfsync: handle large MTU pfsync interfaces
• src: ktls: propagate EPG_FLAG_ANON to mapped mbufs
• src: netipsec: fix sockaddr type set in ipcomp6_nonexp_encapcheck()
• src: src: PF_KEY socket: limit the length of copied socket address
• src: ure: add USB device IDs for additional RTL8152/RTL8153 adapters
• src: ure: fix spurious link flaps from MII
• ports: ca_root_nss / nss 3.127
• ports: expat 2.8.3
• ports: kea 3.0.4
• ports: monit 6.0.0
• ports: openssh 10.5p1
• ports: openssl 3.5.8
• ports: perl 5.42.3
• ports: phalcon 5.20.3
• ports: php 8.5.9
• ports: rrdtool 1.11.0
• ports: sqlite 3.53.4

Versienummer	26.7.3
Releasestatus	Final
Besturingssystemen	BSD
Website	OPNsense
Download	https://opnsense.org/download
Licentietype	Voorwaarden (GNU/BSD/etc.)

Reacties (12)

[S-1-5-7]

Gisteren geinstalleerd en nog geen (extra) problemen tegengekomen.

Ben over het algemeen heel erg tevreden over OPNsense, ik heb alleen sinds niet al te lange tijd heel soms het probleem dat (uit het niets) firewall regels niet meer werken ('gehit' worden) en verkeer dan wordt tegengehouden door de default deny regel. Na een herstart werkt alles weer.
Als het probleem na deze update nog aanhoud, maar eens een bug report openen.

[UnM4rkable]

Ik had exact hetzelfde probleem: na een reboot leken firewall rules niet actief te zijn (GUI, DHCP en NAT werkten prima, maar custom rules deden het niet).

Dit bleek een bekende bug te zijn: /var/run/booting wordt in sommige gevallen niet verwijderd aan het eind van de bootsequence.

Voor mij was de fix een persistent syshook script dat het lock-bestand opruimt en een reload forceert, zodat het ook na updates blijft werken.

Officiële bugreport (met dezelfde oplossing) staat hier: https://github.com/opnsense/core/issues/10175

[The Zep Man]

Gebruik je tegelijkertijd oude en nieuwe firewall rules ("Rules" en "Rules [new]")? Wellicht gooit dat roet in het eten.

[S-1-5-7]

Nee, dat had inderdaad goed gekund! Maar ik was al vrij snel volledig over naar de nieuwe regels. Ik weet alleen even niet meer of ik het probleem daarvoor ook had, of het wel sinds dien speelt.
Misschien nog maar een keer goed zoeken of er geen restjes zijn achtergebleven ergens. Thx

Edit: Ik had alleen nog een legacy outbound NAT regel. Deze had niets te maken had met het verkeer dat wel eens onterecht wordt tegengehouden, maar ik heb deze maar direct even gemigreerd.

[Reactie gewijzigd door S-1-5-7 op 28 augustus 2026 21:46]

[Nakebod]

Ben de laatste tijd mijn thuis firewall strakker aan het instellen en merk daarbij iets vergelijkbaars met een paar regels, al blijven de zelf aangemaakte regels hier wel werken. Request krijgt eerst een hit op default deny, om in dezelfde seconde de echte regel tegen te komen. Die default deny herhaalt zich om de x minuten, alle tussenliggende pogingen lopen wel gewoon via de normale regel. Merk daardoor ook niets wat daardoor niet werkt.
Ik heb geen oude regels meer (Suggestie @The Zep Man.

[S-1-5-7]

Ik vermoed ook dat dit begonnen is nadat ik mijn netwerk beter heb beveiligd (meer VLAN's en regels).
Voor sommige 'pass'-regels staat logging uit, als het weer voorkomt zal ik de logging voor betreffende regels eens inschakelen, misschien zie ik soortgelijk gedrag.

[appollonius333]

Inmiddels is er ook al een hotfix uitgebracht:

A hotfix release was issued as 26.7.3_2:

o interfaces: add missing PPP support to interface_parent_devices()
o firewall: source NAT: fix faulty import removal

[S-1-5-7]

Zojuist nog een tweede hotfix: 26.7.3_8

Edit, release notes:
A hotfix release was issued as 26.7.3_8:

• system: normalize output of get_nameservers()
• interfaces: prevent inline reloads of VLANs via rc.linkup
• interfaces: batch VIP post-reload for proxyarp/pfsync
• monit: use LIBXML_NOCDATA on XML fetch
• ui: improve form matching for help/advanced
• ui: fix _showMaximized() height calculation when mobile navigation triggers below 768px width

[Reactie gewijzigd door S-1-5-7 op 28 augustus 2026 14:30]

[appollonius333]

Oh gek! Die is voor mij nog niet beschikbaar

[xxs]

Hier ook beschikbaar.

[appollonius333]

Voor mij nu pas.

[LMD]

Ondertussen is het versie 26.7.3_11:

• system: flush volt template cache in shared action
• interfaces: exclude VLAN devices from virtual queue
• ui: attach selectors piped through replaceInputWithSelector to body