разработчики выпустили KeePassXC 2.8.0 – первую стабильную версию новой ветки бесплатного менеджера паролей с открытым исходным кодом. Программа перешла с Qt 5 на Qt 6, получила автонабор в Wayland, удалённую синхронизацию баз через внешние инструменты и быструю разблокировку в Linux. Разработчики также добавили нативные сборки для Windows на ARM64 и экспериментальный AppImage для Linux на ARM64. Обновление включает исправления пяти уязвимостей, ранее доступные в бета-версии.
KeePassXC работает в Windows, macOS и Linux и хранит пароли, заметки и вложения в локальном зашифрованном файле. Программа поддерживает формат баз KeePass; место хранения файла и способ его передачи между устройствами выбирает пользователь.
Qt 6 и автонабор в Wayland
Одно из основных изменений ветки 2.8 – переход на Qt 6. В Linux разработчики реализовали автонабор в сеансах Wayland через XDG Desktop Portals: для работы нужны реализации порталов Remote Desktop и Global Shortcuts в используемом окружении рабочего стола.
Автонабор – ввод логина, пароля и других данных из записи с имитацией нажатий клавиш. Эта функция работает отдельно от интеграции с браузером и не требует установки браузерного расширения KeePassXC.
В руководстве для версии 2.8.0 разработчики выделяют KDE Plasma 6.6 и новее и GNOME 51 и новее. Поддержка есть и в более ранних выпусках: Plasma начиная с 5.27 и GNOME начиная с 48, но с ограничениями. До Plasma 6.6 сочетание клавиш меняется через системные настройки; в Plasma до 6.4 известна ошибка с повторным появлением диалога настройки при запуске. В GNOME 48–50 сочетание меняется через настройки приложения в системе. Для Sway, labwc, Hyprland и других композиторов может потребоваться дополнительная реализация порталов.
У автонабора в Wayland остаются ограничения:
- Подбор записей по заголовку активного окна недоступен: диалог показывает записи из разблокированных баз, а нужную можно найти фильтрацией с клавиатуры.
- Программа не отслеживает активное окно. Если во время автонабора фокус перейдёт в другое окно, ввод продолжится уже в нём.
- Некоторые системы ввода, включая fcitx5 и ibus, могут мешать имитации нажатий и вызывать ошибки символов или состояния клавиш-модификаторов. При таких проблемах разработчики предлагают временно отключить систему ввода либо проверить настройки виртуальной клавиатуры.
Также в стабильной версии исправили ошибку очистки буфера обмена в Wayland.
Быстрая разблокировка в Linux и macOS
В Linux появилась быстрая разблокировка через Polkit – системный механизм авторизации. Разработчики отдельно предупреждают: эта функция добавляет UUID в публичные метаданные базы, поэтому при первом запуске база помечается как изменённая.
В macOS быструю разблокировку теперь можно выполнить паролем устройства, если Touch ID недоступен. Это расширяет способы доступа к уже настроенной базе на компьютерах Mac.
Удалённая синхронизация и генерация SSH-ключей
KeePassXC 2.8.0 поддерживает синхронизацию и импорт удалённых баз с помощью внешних инструментов. Для передачи файла можно использовать, например, rsync, ssh или scp. В настройках базы пользователь задаёт команды загрузки и отправки; KeePassXC запускает их при синхронизации.
Согласно документации по работе с базами, в команде или её входных данных нужно указать подстановку для временного файла базы:
{TEMP_DATABASE}
Если внешняя команда запрашивает пароль интерактивно, операция, скорее всего, не завершится успешно. Для SSH-подключений разработчики рекомендуют использовать SSH-агент, чтобы избежать такого запроса.
Синхронизация не является атомарной операцией. Если другой пользователь или процесс изменит удалённую базу после её загрузки, но до обратной отправки, эти изменения будут перезаписаны. Это ограничение нужно учитывать при одновременной работе с одним файлом.
Встроенная интеграция с SSH-агентом также получила генерацию ключей RSA, ECDSA и Ed25519 непосредственно в KeePassXC.
Пять исправленных уязвимостей
Исправления безопасности впервые появились в KeePassXC 2.8.0 Beta 1 от 23 сентября, а теперь вошли в стабильную версию. По сообщению разработчиков, затронута ветка 2.7.x и более ранние версии, поэтому пользователям рекомендуют обновиться до 2.8.0.
| Проблема | Условия и исправление | Идентификатор |
|---|---|---|
| Обращение к освобождённой памяти при импорте KDB | Возникает при импорте специально подготовленного файла старого формата KeePass 1. Исправлена ошибка использования памяти после освобождения. | CVE-2026-69150 |
| Внедрение ссылок на другие записи через браузерное расширение | Вредоносный сайт мог добиться сохранения ссылки на данные другой записи и их последующей передачи при заполнении формы. Исправлена обработка создаваемых и обновляемых записей. | CVE ещё не присвоен |
| Запись за границы буфера в интеграции с браузером | Исправлена обработка памяти при шифровании и расшифровке сообщений Native Messaging, в том числе чрезмерно больших ответов базы. | CVE ещё не присвоен |
| Предсказуемое имя общей памяти при передаче SSH-ключей в Pageant | Проблема касается Windows и требует локального злоумышленника, работающего от имени того же пользователя. Имена областей общей памяти теперь случайные. | CVE ещё не присвоен |
| Целочисленное переполнение и чтение за границами буфера при импорте KDB | Специально подготовленный файл мог вызвать отказ в обслуживании. Исправлено вычисление размера читаемых данных. | CVE ещё не присвоен |
KDB – устаревший формат баз KeePass 1, который KeePassXC умеет импортировать. Собственные базы программа сохраняет в формате KDBX; две ошибки импортёра из этого выпуска связаны именно с обработкой KDB.
Разработчики оценивают перечисленные проблемы как уязвимости низкой и средней степени опасности и подчёркивают, что они не затрагивают криптографию и основные механизмы KeePassXC. При этом ошибка интеграции с браузером могла привести к раскрытию данных отдельных записей, поэтому эту оценку не следует понимать как отсутствие риска утечки.
Исправление взаимодействия с Pageant снижает риск перехвата ключа через заранее созданную область общей памяти. Оно не устраняет все возможности доступа вредоносной программы, уже работающей в контексте того же пользователя.
Кроме пяти опубликованных уязвимостей, разработчики исключили защищённые атрибуты из списков Secret Service, исправили имя формата исключения буфера обмена в Windows и улучшили очистку расшифрованных фрагментов базы из памяти, используемой zlib.
По заявлению команды проекта, ни одна из пяти уязвимостей не появилась из-за кода, сгенерированного ИИ, однако ИИ помог обнаружить эти проблемы.
Сочетания клавиш, импорт и исправления
Сочетания клавиш теперь можно настраивать. Для клонирования записи разработчики назначили Ctrl+D, а при добавлении и переименовании дополнительных атрибутов появились подсказки.
Статистика базы в графическом интерфейсе и командной строке показывает количество записей с ключами доступа и одноразовыми кодами TOTP. Импорт из Proton Pass расширили: он поддерживает записи Wi-Fi, SSH-ключи и неизвестные типы записей.
Среди других изменений:
- Устранены зависания на компьютерах с одним или двумя процессорными ядрами.
- Исправлены оценка стойкости паролей, полученных через ссылки на другие записи, и применение настроек генератора при автоматическом создании пароля.
- Устранены ошибки отображения и закрытия генератора паролей в интеграции с браузером. Новые ключи доступа сохраняются в выбранную базу.
- Исправлены сбои Secret Service, в том числе при блокировке базы во время открытого диалога доступа.
- Улучшена интеграция AppImage с рабочим столом. Исправления TLS должны уменьшить число ошибок при загрузке значков сайтов и проверке обновлений.
- Размер шрифта паролей теперь следует за размером шрифта приложения.
- В Linux состояние приложения хранится в XDG_STATE_HOME вместо XDG_CACHE_HOME.
- Удалено преобразование устаревших атрибутов KeePassHTTP.
Полный список изменений KeePassXC 2.8.0 также включает исправления импорта CSV, поиска, истории записей и поведения окон в macOS.
Сборки для ARM64 и доступность
В ветке 2.8 впервые появились официальные нативные сборки для Windows на ARM64. Для Linux разработчики выпустили AppImage для AArch64, то есть ARM64, но пока обозначают его как экспериментальный.
Стабильный выпуск также позволяет администраторам Windows принудительно задавать отдельные настройки KeePassXC через переопределения групповой политики. По сравнению с бета-версией разработчики исправили ряд проблем нативной сборки для Windows ARM64; в остальном стабильный выпуск в основном повторяет её возможности.
На официальной странице загрузки доступны KeePassXC 2.8.0 для Windows 10 и 11 на x64 и ARM64, сборки для macOS 12 и новее на Intel и Apple Silicon, а также AppImage для Linux на x86-64 и AArch64. Для Windows предусмотрены установщик и портативный ZIP-архив. Поддержка установщика для Windows 7, 8 и 8.1 завершилась на версии 2.7.12.
Разработчики также указывают Microsoft Store, Flathub и официальный Ubuntu PPA как каналы распространения. При этом на странице Flathub, проверенной 22 октября, ещё отображалась версия 2.7.12. Наличие объявления о релизе поэтому не означает, что 2.8.0 уже появилась во всех каналах.
Вывод
KeePassXC 2.8.0 расширяет работу менеджера паролей в современных окружениях Linux и на компьютерах с ARM64, а удалённая синхронизация позволяет подключить внешние средства передачи баз. Перед использованием автонабора в Wayland и совместной синхронизации стоит учесть ограничения этих функций. Для пользователей предыдущих стабильных выпусков переход на 2.8.0 также важен из-за исправлений импортёра KDB, браузерной интеграции и передачи SSH-ключей в Windows.
