KeePassXC 2.8 apporte enfin l’Auto-Type sous Wayland et migre vers Qt 6

21 octobre 2026. KeePassXC publie la version stable 2.8.0, la première de la série 2.8, un mois après la bêta. 21 octobre 2026. La nouveauté la plus attendue depuis des années est livrée : l’Auto-Type natif sous Wayland, via les XDG Desktop Portals. 21 octobre 2026, même jour. La note de version corrige cinq failles de sécurité, toutes situées dans les « ponts » du gestionnaire — importateurs, extension navigateur, agent SSH — et aucune dans le chiffrement du coffre. Pour qui tape des mots de passe à la volée sur un bureau Wayland ou importe des bases KDB anciennes, cette version n’est pas cosmétique.

L’Auto-Type sous Wayland, la lacune historique qui se referme

L’Auto-Type est la fonction qui simule une frappe au clavier pour remplir automatiquement un formulaire de connexion. Sous X11, elle fonctionnait en injectant des touches via le protocole X — un mécanisme que Wayland a délibérément supprimé au nom de la sécurité : plus aucun client ne peut synthétiser d’entrée clavier à l’échelle du bureau. Résultat, l’Auto-Type de KeePassXC était cassé sur les sessions Wayland pures, et ne survivait qu’au prix de contournements partiels via XWayland. C’était, de l’avis général de la communauté, la lacune numéro un du projet.

La version 2.8.0 comble cette lacune par la voie officielle : l’Auto-Type passe désormais par les XDG Desktop Portals, l’interface qui permet à une application de demander au compositeur d’injecter l’entrée à sa place. Concrètement, le gestionnaire ne touche plus au clavier lui-même — il délègue l’injection au serveur d’affichage, qui garde le contrôle. Cela suppose un compositeur qui implémente le bon portail, ce qui est le cas de GNOME, de KDE Plasma et des environnements basés sur wlroots via xdg-desktop-portal.

L’enjeu n’est pas anecdotique. Wayland est désormais la session par défaut des grandes distributions — Fedora et Ubuntu en tête — et KDE Plasma a officiellement relégué X11 au second plan. Un gestionnaire de mots de passe dont la fonction phare ne fonctionne pas sur le bureau par défaut perd l’essentiel de son intérêt face aux gestionnaires intégrés des navigateurs. KeePassXC 2.8.0 rétablit la parité au bon moment.

Qt 6 et ARM64 : une base modernisée plutôt qu’un simple correctif

La migration de Qt 5 vers Qt 6 est l’autre chantier majeur de la version. Qt 5 arrive en fin de vie commerciale et ses correctifs de sécurité se raréfient ; rester dessus exposait le projet à des problèmes de maintenance à moyen terme. Basculer vers Qt 6 débloque au passage le HiDPI propre, une meilleure intégration Wayland et le support des plateformes modernes.

La version 2.8.0 est aussi la première à proposer des builds natifs ARM64 pour Windows et une AppImage AArch64 expérimentale pour Linux. Le signal est clair : le parc ARM — Snapdragon X côté Windows, puces Apple Silicon côté macOS, cartes ARM64 côté serveur — cesse d’être une niche. Un gestionnaire de mots de passe doit suivre les machines sur lesquelles ses utilisateurs travaillent réellement.

Le reste des nouveautés complète la base : raccourcis clavier configurables, synchronisation distante de base de données via des outils externes, déverrouillage rapide par Polkit sous Linux (et par mot de passe sous macOS), génération de clés RSA, ECDSA et Ed25519 dans l’agent SSH. Aucune de ces fonctions n’est spectaculaire isolément ; ensemble, elles comblent les frictions quotidiennes qui poussaient certains utilisateurs vers des solutions propriétaires.

Cinq correctifs de sécurité, tous dans les ponts, aucun dans le coffre

La lecture de la note de sécurité est instructive pour qui s’intéresse à la surface d’attaque d’un gestionnaire de mots de passe. Les cinq failles corrigées concernent toutes les versions 2.7.x et antérieures, sont cotées faible à modérée, et aucune ne touche le cœur cryptographique — l’AES, l’Argon2 ou le format KDBX restent intacts. Elles se situent dans les ponts : les importateurs de fichiers et le canal de l’extension navigateur.

Deux fixes portent sur l’import de bases KDB. La CVE-2026-69150 est un use-after-free lors de l’import d’un fichier KDB spécialement conçu ; une seconde corrige un dépassement d’entier et une lecture hors limites dans l’importateur du format KDB hérité. Ces deux-là importent aux équipes qui récupèrent des archives ou des bases récupérées sur des machines compromises : un fichier KDB malveillant ne devrait jamais pouvoir faire exécuter du code au gestionnaire qui l’ouvre.

Deux autres fixes touchent le canal navigateur : une injection de référence d’entrée lors de la création ou de la mise à jour d’entrées via l’extension, et des écritures hors limites lors du chiffrement et du déchiffrement des messages de native messaging. La cinquième concerne Windows : le nommage de la mémoire partagée utilisée pour transmettre les clés SSH à Pageant est désormais aléatoire.

Trois détails méritent d’être relevés. Le NCSC de l’OTAN — via Viktor Markopoulos du NCIA/NCSC — est crédité pour deux de ces failles, signe que les gestionnaires de mots de passe sont passés dans le périmètre des équipes de défense nationales. GitHub n’a toujours pas attribué d’identifiants CVE à quatre des cinq failles plus d’un mois après la demande, un délai qui complique le suivi automatisé des correctifs. Enfin, le projet précise qu’aucune de ces failles n’a été introduite par du code généré par IA, mais que l’IA a aidé à les trouver — un point de donnée utile dans le débat sur l’automatisation de la recherche de vulnérabilités.

Verdict

Si vous utilisez l’Auto-Type sur un bureau Wayland, installez KeePassXC 2.8.0 immédiatement : c’est la première version où la fonction marche nativement, et il n’y a plus de raison de rester sur 2.7.x. Si vous importez des fichiers KDB ou KDBX de provenance incertaine — récupération après incident, archives d’un collègue, dépôts partagés — la mise à jour est également prioritaire, car deux des cinq correctifs concernent précisément les importateurs. Pour tous les autres, la migration vers Qt 6 et les correctifs de sécurité font de cette version une mise à jour recommandée et sans risque : le format de base de données est stable, et la 2.8.0 lit vos coffres existants sans conversion. La leçon qui dépasse KeePassXC est que la sécurité d’un gestionnaire de mots de passe se joue désormais autant dans ses ponts — navigateur, importateurs, agent SSH — que dans le coffre lui-même.

Références

• KeePassXC — KeePassXC 2.8.0 (Stable) released (21 octobre 2026)
• KeePassXC — Avis de sécurité GHSA-4642-49vv-4p43 (CVE-2026-69150)
• 9to5Linux — KeePassXC 2.8 Released with ARM64 and Wayland Auto-Type Support on Linux (22 octobre 2026)
• Linuxiac — KeePassXC 2.8 Password Manager Released with Qt 6, Wayland Support (22 octobre 2026)