KeePassXC 2.8.0 ist als erster stabiler Release der 2.8-Serie erschienen und schließt fünf Sicherheitslücken. Für genau eine davon gibt es eine CVE-Nummer: CVE-2026-69150, ein Use-after-free beim Import alter KDB-Datenbanken. Die übrigen vier führt das Projekt weiterhin als „CVE-PENDING“, weil GitHub die angeforderten Identifier mehr als einen Monat nach der Anfrage nicht vergeben hat. Betroffen sind laut Projekt alle Versionen 2.7.x und älter; KeePassXC stuft die Lücken als „low to moderate severity“ ein und betont, Kernfunktionalität und Kryptografie seien nicht betroffen. Nutzer unter Windows, macOS und Linux sollten trotzdem aktualisieren.
KeePassXC 2.8.0: fünf Fixes, vier davon ohne CVE-Nummer
Fünf Einträge listet die offizielle Release-Ankündigung unter „Security Fixes“. Nur der erste hat eine Nummer: der Use-after-free im KDB-Import, gemeldet von A. Ramos (@aramosf) und behoben mit Pull Request #13500. Die vier übrigen stehen im Changelog des GitHub-Releases als „CVE-PENDING“:
- Entry-Reference-Injection über die Browsererweiterung, Credit: Davonte (@BadPingHere)
- Out-of-bounds-Writes beim Ver- und Entschlüsseln von Native-Messaging-Nachrichten, Credit: @sigure21
- fehlende Randomisierung der Shared-Memory-Namen bei der Übergabe von SSH-Schlüsseln an Pageant unter Windows
- Integer-Overflow und Out-of-bounds-Read im Legacy-KDB-Importer, Credit: NATO Cyber Security Centre (NCSC) und Viktor Markopoulos (NCIA/NCSC)
Die Identifier liegen bei GitHub, nicht beim Projekt: KeePassXC hat die Nummern dort angefordert und will sie im Changelog nachtragen, sobald sie vorliegen. Praktische Folge für den Betrieb: Wer Schwachstellen-Feeds automatisiert auswertet, sieht die vier Fälle derzeit nicht als CVE-Einträge. Die Fixes selbst steckten schon in der vorangegangenen Beta-Version; mit dem stabilen Release erreichen sie jetzt alle Nutzer.
CVE-2026-69150: Speicherkorruption im Legacy-Import
Der Fehler sitzt in der Altlastenecke des Programms – dem Importer für Datenbanken im alten KDB-Format. VulDB klassifiziert CVE-2026-69150 als Speicherkorruption in der Funktion parseCustomIcons4 der Komponente „Legacy Import“, nennt als betroffenen Bereich Versionen bis 2.8.0-beta0 und führt einen vorläufigen Score von 6,0. Dieser Wert ist eine temporäre Einschätzung des Portals, kein NVD- oder Herstellerscore. KeePassXC selbst bleibt bei der Einordnung „low to moderate“ und verweist darauf, dass weder die Kernfunktionen noch die Kryptografie betroffen seien.
Wer ausschließlich KDBX-Datenbanken öffnet, berührt diesen Codepfad gar nicht. Wer alte KDB-Dateien importieren muss, sollte das erst nach dem Update tun – der Fix war bereits in der Beta-Version enthalten.
Wayland-Auto-Type und Qt 6: was KeePassXC 2.8.0 sonst bringt
Der auffälligste Funktionsgewinn betrifft Linux: Auto-Type funktioniert jetzt auch unter Wayland, umgesetzt über XDG Desktop Portale (#13359). Dazu kommt die Möglichkeit, die Datenbank über externe Programme abzugleichen und zu importieren (#7222, #10896, #11271) – ein Abgleichweg ohne Cloud-Zwang, der bisher einen Sync-Dienst oder manuelles Kopieren erforderte. Weitere Neuerungen: konfigurierbare Tastenkürzel (#9643), ein SSH-Agent, der RSA-, ECDSA- und Ed25519-Schlüssel erzeugt (#7215), Gruppenrichtlinien-Vorgaben für Windows-Administratoren (#11223), native Arm64-Builds für Windows (#13678, #13727) und ein experimentelles AArch64-AppImage (#13816).
Unter der Haube ist der Wechsel von Qt 5 auf Qt 6 der größte Eingriff. Unter Linux wandert der Anwendungszustand von XDG_CACHE_HOME nach XDG_STATE_HOME, einzelne Build-Features bündelt die CMake-Option KPXC_MINIMAL. Quick Unlock via Polkit (#8983) hat eine Nebenwirkung, die Administratoren kennen sollten: Die Funktion schreibt eine UUID in die öffentlichen Metadaten und markiert die Datenbank beim ersten Start als geändert. Auf macOS entsperrt 2.8.0 die Datenbank per Gerätepasswort auch ohne Touch ID (#11410).
Gegenüber der Beta hat das Team die Gruppenrichtlinien-Durchsetzung unter Windows, die TLS-Behandlung des AppImage und den AArch64-Build nachgeschärft, dazu kleinere Korrekturen – laut Blog-Post „most importantly concerning the ARM64 Windows build and a Wayland clipboard clearing bug“. Ohne CVE-Nummer gehärtet wurden außerdem drei Details: Der Secret Service schließt geschützte Attribute aus Attribut-Auflistungen aus (#13674), der Formatname für die Clipboard-Ausnahme unter Windows ist korrigiert (#13352), und entschlüsselte Datenbank-Fragmente werden besser aus dem zlib-Speicher gelöscht (#13677). Zu den Fehlern selbst hält das Projekt fest, KI habe bei der Suche geholfen („AI assisted in finding them“), sie aber nicht eingeführt.
Wer jetzt aktualisieren sollte
Als betroffen gilt jede Installation vor 2.8.0. Die Release-Ankündigung des Projekts nennt als Bezugswege die Projekt-Downloadseite, den Microsoft Store, das Ubuntu PPA und Flathub. In Unternehmen sind vor allem die neuen Gruppenrichtlinien-Vorgaben unter Windows relevant: Administratoren können damit Einstellungen zentral vorgeben, statt jede Installation einzeln zu konfigurieren. Workarounds nennt das Projekt nicht – die einzige empfohlene Maßnahme ist das Update.
KeePassXC ist kostenlos, quelloffen und basiert auf dem ursprünglichen KeePass. Die Datenbank liegt lokal beim Nutzer, nicht auf einem Herstellerserver; optional lässt sie sich über eine Browser-Erweiterung anbinden.
Offen bleibt allein die Nummernvergabe: Das Projekt dokumentiert seine Lücken samt Credits und schiebt die Fixes in einer Beta vor, die CVE-Kennungen für vier davon fehlen aber weiterhin. Für hiesige Deployments ändert das nichts am Handlungsbedarf – 2.8.0 einspielen, danach den Changelog auf nachgetragene Nummern prüfen.