KeePassXC 2.8.0: Qt 6, Wayland-Auto-Type, Gruppenrichtlinien und fünf Sicherheitsfixes
KeePassXC 2.8.0 ist seit dem 21. Oktober 2026 stabil. Das Update behebt fünf Schwachstellen aller Versionen 2.7.x und älter, darunter CVE-2026-69150 im KDB-Import und eine Datenabfluss-Lücke in der Browser-Integration. Neu sind Qt 6, Auto-Type unter Wayland und Gruppenrichtlinien für Windows.
Das KeePassXC-Projekt hat am 21. Oktober 2026 die Version 2.8.0 als erste stabile Ausgabe der neuen 2.8-Reihe veröffentlicht. Neben dem Umstieg von Qt 5 auf Qt 6, Auto-Type unter Wayland und erstmals zentral erzwingbaren Einstellungen per Gruppenrichtlinie unter Windows schließt das Update fünf Sicherheitslücken. Betroffen sind laut Projekt alle Versionen 2.7.x und älter auf Windows, macOS und Linux.
Die Lücken stuft das Projekt als niedrig bis mittel ein, die Kryptografie und die Kernfunktion des Passwortmanagers sind nicht betroffen. Hinweise auf aktive Ausnutzung nennen weder Projekt noch Advisories. Ein Notfallpatch ist daher nicht nötig, Admins sollten 2.8.0 aber zeitnah im nächsten Wartungsfenster verteilen. Höher priorisieren sollten Umgebungen mit Browser-Integration oder mit Pageant unter Windows.
Was ist passiert?
Die Korrekturen waren bereits in der Beta vom 23. September 2026 enthalten, am selben Tag erschienen die GitHub Security Advisories. Mit 2.8.0 stehen sie nun allen Nutzern der stabilen Reihe zur Verfügung. Eine CVE-Nummer gibt es bisher nur für eine Lücke: CVE-2026-69150, ein Use-after-free beim Import präparierter KDB-Dateien (KeePass 1). Für die übrigen vier hat GitHub laut Blogpost auch nach über einem Monat keine CVE vergeben.
Die fünf Schwachstellen laut Changelog und Advisories:
- KDB-Import, Use-after-free (CVE-2026-69150, mittel): Eine präparierte .kdb-Datei bringt den Prozess beim Import reproduzierbar zum Absturz, der Melder sieht darin einen Ansatz für weitergehende Speicherkorruption.
- KDB-Import, Integer-Überlauf (CVSS 3.3, niedrig): Lesezugriff außerhalb des Puffers, laut Advisory nur als Denial of Service nutzbar.
- Browser-Integration, Referenz-Injektion (CVSS 6.5, mittel): Eine bösartige Website kann beim Speichern eines neuen Logins einen Verweis auf andere Einträge unterschieben. Beim späteren Ausfüllen gelangen Benutzernamen, Passwörter oder Notizen dieser Einträge an die Website.
- Browser-Integration, Schreibzugriff außerhalb des Puffers (mittel, ohne CVSS-Wert): Betrifft 2.3.0 bis 2.7.12 und setzt einen bereits verknüpften Browser-Client voraus. Bestätigt ist ein Absturz, keine Codeausführung.
- Windows, Pageant (CVSS 3.3, niedrig): Der Name des Shared-Memory-Bereichs für die Übergabe von SSH-Schlüsseln an Pageant war vorhersagbar. Eine bösartige Anwendung unter demselben Benutzerkonto konnte ihn vorab belegen und den Schlüssel abgreifen.
Zusätzlich behebt 2.8.0 weitere Sicherheitsprobleme ohne Advisory, darunter geschützte Attribute in Secret-Service-Listen unter Linux. Funktional neu sind unter anderem anpassbare Tastenkürzel, Synchronisation und Import entfernter Datenbanken über externe Werkzeuge, ein SSH-Agent, der RSA-, ECDSA- und Ed25519-Schlüssel erzeugt, Quick Unlock per Polkit unter Linux, native Arm64-Builds für Windows und ein experimentelles AArch64-AppImage.
Wer ist betroffen?
Betroffen sind alle Installationen vor 2.8.0. Das größte praktische Risiko tragen Nutzer der Browser-Erweiterung KeePassXC-Browser, weil dort eine präparierte Website beim normalen Speichern und Ausfüllen genügt. Die KDB-Lücken greifen nur beim Import alter KeePass-1-Datenbanken, die Pageant-Lücke nur unter Windows bei aktivierter Pageant-Übergabe und setzt bereits Schadcode im Benutzerkontext voraus. Wer weder Browser-Integration noch KDB-Import noch Pageant nutzt, ist kaum exponiert.
Wie kritisch ist das?
Moderat. Keine der Lücken erlaubt nach Angaben der Advisories Codeausführung aus der Ferne, die schwerste realistische Folge ist der Abfluss einzelner Tresoreinträge über die Browser-Integration. Das rechtfertigt ein geplantes Update im nächsten Wartungsfenster, keinen Sofort-Rollout außerhalb der Reihe.
Was sollten Admins jetzt tun?
- Installierte KeePassXC-Versionen per Softwareinventar erfassen und alle Clients unter 2.8.0 markieren, inklusive portabler ZIP- und AppImage-Varianten.
- Update verteilen: Für Windows liegen MSI-Pakete für x64 und ARM64 im GitHub-Release, außerdem bietet das Projekt den Microsoft Store, das Ubuntu-PPA und Flathub an. Signaturen und DIGEST-Dateien vor der Paketierung prüfen.
- Clients mit aktiver Browser-Integration zuerst aktualisieren.
- Gruppenrichtlinien testen: Laut Pull Request liest KeePassXC erzwungene Werte aus
HKEY_LOCAL_MACHINE\SOFTWARE\Policies\KeePassXC, jede INI-Sektion entspricht einem Schlüssel, Werte als DWORD. Ein naheliegender Kandidat ist die automatische Sperre bei Inaktivität. - Unter Linux beachten: Der Anwendungszustand liegt jetzt in
XDG_STATE_HOMEstattXDG_CACHE_HOME. Quick Unlock per Polkit schreibt eine UUID in die öffentlichen Metadaten und markiert die Datenbank beim ersten Start als geändert, was bei synchronisierten Dateien auffallen kann. - Nutzer auf das neue Tastenkürzel Strg+D für Eintrag klonen hinweisen.
Einordnung für Unternehmen
Für kleine und mittlere Unternehmen ist weniger der Patch selbst die Nachricht als die Gruppenrichtlinien-Unterstützung. Bisher lagen alle Einstellungen in nutzerbezogenen INI-Dateien, zentrale Vorgaben ließen sich kaum durchsetzen. Erzwungene Werte erscheinen nun ausgegraut mit Hinweis auf die Organisation. Damit wird KeePassXC als lokaler Tresor in verwalteten Windows-Umgebungen besser steuerbar, ersetzt aber keinen Team-Passwortmanager mit Rechteverwaltung und zentralem Audit. Wer Zugangsdaten im Team teilen muss, sollte eine serverbasierte Lösung prüfen.
