KeePassXC 2.8.0 corrige use-after-free na importação de KDB legado
O KeePassXC lançou a versão 2.8.0 com correções de segurança, conforme o DarkWebInformer. A atualização corrige a CVE-2026-69150, um use-after-free acionado ao importar um arquivo KDB legado malicioso, além de falhas de navegador, memória e Windows que ainda aguardam CVE. As fontes não relatam exploração em curso; atualize para a 2.8.0.
O que aconteceu
O KeePassXC lançou a versão 2.8.0 em 26/10/2026 com várias correções de segurança, segundo o DarkWebInformer. A principal corrige a CVE-2026-69150, um use-after-free acionado ao importar um arquivo KDB legado malicioso. Outras falhas, de navegador, memória e Windows, ainda aguardam número de CVE.
Por que importa
O KeePassXC guarda todas as senhas da empresa em um só lugar. Um arquivo de cofre malicioso enviado a um funcionário, se importado, poderia derrubar ou comprometer o gerenciador de senhas dessa pessoa. Todo usuário que importa arquivos KDB legados de origem duvidosa está exposto.
O que fazer
Atualize o KeePassXC para a versão 2.8.0 em todas as estações. Até lá, oriente os usuários a não importar arquivos KDB legados recebidos de terceiros.
Para o time técnico
- CVE
- CVE-2026-69150
- Afetados
- KeePassXC (gerenciador de senhas) · KeePassXC em versões anteriores à 2.8.0; usuários que importam arquivos KDB legados maliciosos.
- Exploração
- Sem exploração relatada nas fontes. Correção divulgada em 26/10/2026 pelo DarkWebInformer; falhas adicionais ainda aguardam atribuição de CVE.
- Correção
- Atualizar para KeePassXC 2.8.0. Mitigação parcial: não importar arquivos KDB legados de origem não confiável.
- Vetor
- Importador de KDB legado: use-after-free acionado ao importar arquivo KDB legado construído para o ataque; o mesmo importador também tem estouro de inteiro e leitura fora dos limites. Exige que o usuário importe o arquivo. Outras falhas corrigidas: injeção de referência de entrada no navegador, escrita fora dos limites na mensageria nativa, nomes fracos de mapeamento de memória compartilhada do Pageant no Windows e limpeza insuficiente de fragmentos descriptografados do banco na memória.
- Mais detalhes
- O lançamento 2.8.0 também migra para Qt 6 e adiciona sincronização remota de banco de dados, atalhos configuráveis, geração de chaves SSH, Auto-Type no Wayland, Quick Unlock no Linux e builds nativos para Windows Arm64. Fonte única: post do DarkWebInformer no X.
Linha do tempo
Lançamento 2.8.0 traz correções de segurança e migração para Qt 6.
Fontes 1 fonte
- @DarkWebInformer @DarkWebInformer
