O KeePassXC lançou a versão 2.8.0 para corrigir múltiplas vulnerabilidades de segurança relacionadas à importação de bancos de dados, à integração com navegadores, ao tratamento de chaves SSH (Secure Shell, protocolo de acesso remoto seguro) e à proteção de informações sensíveis.
Publicada em 21 de outubro, a atualização inclui oito correções de segurança, melhorias para diferentes plataformas e a migração para o Qt 6 (framework de desenvolvimento de interfaces gráficas). Entre os problemas, destaca-se a vulnerabilidade identificada como CVE-2026-69150 (sigla de Common Vulnerabilities and Exposures, identificador público de falhas de segurança), enquanto outras quatro questões aguardam a atribuição de identificadores CVE.
KeePassXC 2.8.0 é lançado
Segundo o Keepassxreboot, o CVE-2026-69150 corrige uma vulnerabilidade de uso após liberação de memória (use-after-free) que ocorre ao importar arquivos KDB (formato de banco de dados usado pelas versões antigas do KeePass) elaborados de forma específica. Atribuída ao pesquisador A. Ramos, a falha envolve o caminho de importação do formato legado de banco de dados.
A versão também corrige um estouro de inteiro (integer overflow) e uma leitura fora dos limites (out-of-bounds read) no importador do formato KDB legado, reportados por Viktor Markopoulos, do NATO Cyber Security Center. Ambas as correções tratam operações de memória inseguras durante o processamento do banco de dados.
A atualização inclui duas correções importantes de segurança para a integração com navegadores. A primeira impede a injeção de referências em entradas quando a extensão do navegador cria ou atualiza entradas.
Essa vulnerabilidade, reportada por Davonte (também conhecido como BadPingHere), diz respeito ao tratamento de referências em operações de entradas feitas pelo navegador.
A segunda correção resolve escritas fora dos limites que ocorrem durante a criptografia e a descriptografia de mensagens de native messaging (mecanismo de comunicação entre o navegador e o aplicativo), creditada ao pesquisador sigure21. Ambas as falhas estão marcadas como CVE-PENDING nas notas de lançamento.
As notas de lançamento não trazem pontuações de gravidade, detalhes sobre pré-requisitos para exploração nem evidências de exploração ativa dessas vulnerabilidades. Por isso, os problemas de corrupção de memória documentados não devem ser automaticamente classificados como falhas confirmadas de execução remota de código.
No Windows, o KeePassXC passou a randomizar os nomes dos mapeamentos de memória compartilhada ao transferir chaves SSH para o Pageant. A mudança trata outro problema, também atribuído a Markopoulos e ao NATO Cyber Security Center, com identificador CVE ainda pendente.
Além disso, a atualização corrige o nome do formato usado para excluir itens da área de transferência do Windows.
Novidades
Outras melhorias excluem atributos protegidos das listagens de atributos do Secret Service e aprimoram a limpeza, da memória usada pelo zlib, dos fragmentos de banco de dados descriptografados.
Essas mudanças reforçam o tratamento de informações sensíveis nas interfaces de integração e nos buffers temporários de processamento. A correção do Secret Service é creditada a Koda Reef, enquanto a correção da área de transferência é creditada a ByeWhiteLists.
Além das correções de segurança, a versão 2.8.0 traz recursos como sincronização remota de bancos de dados, importação por meio de ferramentas externas, atalhos de teclado configuráveis e a possibilidade de gerar chaves RSA, ECDSA e Ed25519 (algoritmos de criptografia para chaves).
Para usuários de Linux, a atualização inclui o Wayland Auto-Type por meio dos XDG Desktop Portals (interfaces padronizadas que integram aplicativos ao ambiente gráfico), o Quick Unlock baseado em Polkit (sistema de autorização do Linux) e um AppImage para AArch64 (arquitetura de 64 bits para processadores ARM). Já os usuários de Windows recebem builds nativos para Arm64 e substituições de Group Policy (políticas de grupo) para impor determinadas configurações.
Outras melhorias incluem a avaliação da força de senhas referenciadas, a preservação do banco de dados selecionado ao salvar novas passkeys e a correção de diversas falhas do Secret Service que causavam encerramentos inesperados.
Os usuários devem priorizar a atualização, especialmente se utilizam importações de arquivos KDB legados, integração com navegadores ou fluxos de trabalho com Pageant. As notas de lançamento não mencionam soluções alternativas provisórias, portanto instalar esta versão corrigida é a forma mais direta de resolver esses problemas.
