KeePassXC 2.8.0、脆弱性を修正しWindowsのグループポリシーでの設定の強制に対応

使っているなら、早めに更新したい版である。オープンソースのパスワード管理ソフトKeePassXCは2026年10月22日に版2.8.0を公開し、複数の脆弱性を修正した。会社でまとめて配っている管理者向けには、Windowsのグループポリシーで利用者の設定を強制できる機能が加わった。

修正された脆弱性

リリースノートに載っている修正のうち、セキュリティに関わるものは次のとおりである。

内容	識別番号
細工したKDBファイルを読み込むと、解放済みのメモリを使ってしまう	CVE-2026-69150
ブラウザ拡張から項目を作る・更新するときに、項目の参照を差し込まれる	申請中
ブラウザとのやり取りの暗号化・復号で、範囲外へ書き込む	申請中
Windowsで、SSHの鍵をPageantへ送るときの共有メモリの名前が推測できる	申請中
古いKDB形式の読み込みで、整数の桁あふれと範囲外の読み出しが起きる	申請中

このほか、Secret Serviceの属性の一覧から保護された属性を外す修正、Windowsでクリップボードから除外するときの形式名の修正、zlibが使うメモリから復号したデータの断片を消す処理の改善も入った。古い形式のKDBファイルやブラウザ拡張を使っている環境ほど、更新の優先度が高い。

管理者向けに加わったこと

Windowsでは、管理者がグループポリシーで一部の利用者の設定を上書きして強制できるようになった。社員の端末に配っている場合、クリップボードの消去の時間などをそろえやすくなる。

ほかの主な追加は次のとおり。

• 外部のツールを使った、リモートのデータベースとの同期と取り込み
• SSHエージェントで、RSA・ECDSA・Ed25519の鍵の作成
• Linuxで、Polkitを使った素早いロック解除。初回の起動時に、データベースの公開のメタデータへUUIDを加えるため、データベースが変更済みの扱いになる
• macOSで、Touch IDが使えないときに端末のパスワードで素早くロック解除
• WindowsのArm64版と、LinuxのAArch64版のAppImage
• キーボードのショートカットの設定

画面の部品はQt 6へ移った。Linuxでは、アプリの状態を保存する場所がXDG_STATE_HOMEに変わった。

クラウド型のパスワード管理との違い

KeePassXCは、データベースのファイルを端末の中で管理する方式で、無料のOSSである。クラウドに保存して端末の間で同期する方式のサービスとは、管理のしかたが違う。大全の掲載データでは次のようになる。

項目	KeePassXC	1Password	Bitwarden
料金体系	無料のOSS	月額・年額(無料トライアルあり)	月額・年額(無料プランあり)
使える端末	Windows・Mac・Linux	Windows・Mac・Linux・iOS・Android	Web・Windows・Mac・Linux・iOS・Android
2段階認証	公式サイトで確認できず	○	公式サイトで確認できず

表の「公式サイトで確認できず」は、機能の有無ではなく、大全が公式サイトで記載を見つけられなかったことを示す。今回の版で外部のツールを使った同期が加わったが、データベースのファイルの置き場所と共有のしかたを利用者が決める点は変わらない。3件は比較のページで並べて見られる。

更新の前に確かめること

• 社内で使っている版と、ブラウザ拡張を入れている端末の数
• Linuxで素早いロック解除を使う場合、初回の起動でデータベースが変更済みになるため、共有のフォルダで同期しているファイルがぶつからないか
• Windowsでグループポリシーを使うなら、強制したい設定の一覧