Vaultwarden, l’alternative légère écrite en Rust au serveur officiel Bitwarden, vient de sortir en version 1.37.0. Cette mise à jour du 24 juillet 2026 corrige huit failles de sécurité distinctes touchant les instances auto-hébergées, avec en prime quelques nouveautés mineures.
Si vous faites tourner Vaultwarden, cette réimplémentation du serveur Bitwarden en un seul conteneur Docker qui permet d’héberger soi-même son coffre de mots de passe sans la pile officielle complète, ne traînez pas trop avant d’installer celle-ci.
Ce que corrigent les correctifs de sécurité
D’après les notes de version publiées sur GitHub, la 1.37.0 corrige huit avis de sécurité, tous classés Medium pour l’instant, avec des scores CVSS allant de 4,3 à 6,3. Ces avis restent privés en attendant l’attribution de numéros CVE : il n’y a donc pas encore d’identifiant CVE, seulement des références GHSA (GitHub Security Advisory) publiées par les mainteneurs :
- SSRF via le point de terminaison des icônes (GHSA-hw4g-2v3f-74×5, GHSA-vh5m-fc9v-m84g), Medium, 5,8 et 6,3
- Accès aux chiffrements entre organisations (GHSA-xwf8-pjh7-h589), Medium, 5,9
- Contournement des politiques d’organisation lors d’un import d’annuaire (GHSA-88qc-6ch9-mc3j), Medium, 5,5
- Contournement du compteur d’accès des Send (GHSA-rxhg-2pw9-vf25), Medium, 5,3
- Déni de service par inondation WebSocket non authentifiée (GHSA-96f7-78q5-j345), Medium, 5,3
- Partage de secrets entre organisations (GHSA-455c-vgg9-jxw8), Medium, 4,3
- Autorisation lors de l’import d’organisation (GHSA-f3qw-qg77-hmm4, GHSA-jq2g-h4xr-4mcr), Medium, 4,3
- Énumération de données d’organisation via le rôle Manager (GHSA-rqf8-2568-r7mc), Medium, 4,3
Deux d’entre elles méritent une explication en langage clair. Le SSRF du point de terminaison des icônes concerne la manière dont Vaultwarden récupère les favicons des sites web pour les afficher à côté de vos identifiants enregistrés. Une URL d’icône bricolée pourrait pousser votre serveur à contacter des adresses du réseau interne qu’il n’a rien à faire à joindre : c’est le principe de base d’une attaque server-side request forgery. Les failles inter-organisations (accès aux chiffrements, partage de secrets, énumération de données) touchent toutes à la frontière entre Organisations distinctes au sein d’une même instance Vaultwarden. Elles comptent surtout si vous utilisez cette fonctionnalité pour partager des coffres en famille ou en équipe : un bug ici pourrait laisser fuiter des données d’une organisation vers une autre alors que ces deux espaces sont censés rester cloisonnés.
Deux autres se comprennent presque rien qu’à leur nom. Le contournement du compteur d’accès des Send touche la fonctionnalité qui permet de partager une note ou un fichier via un lien censé expirer après un nombre de consultations défini ; le bug laissait dépasser cette limite. L’inondation WebSocket non authentifiée, elle, signifie que n’importe qui, sans même avoir de compte sur votre serveur, pouvait envoyer assez de requêtes de connexion vers le socket de synchronisation en temps réel pour perturber le service pour tout le monde.
Aucune de ces huit failles ne s’accompagne d’une preuve de concept publique dans les notes de version, et toutes restent classées Medium plutôt que Critical ou High. Reste que corriger huit avis dans une seule sortie, ça mérite qu’on s’en occupe rapidement plutôt que de la ranger dans la pile des mises à jour de routine.
Une note sur la compatibilité des clients
Un détail des notes de version passe facilement inaperçu : « cette mise à jour est nécessaire pour la compatibilité avec les clients en version 2026.7.0 et ultérieures ». Si vous, ou quelqu’un qui utilise votre coffre, avez mis à jour l’extension navigateur, l’application de bureau ou l’appli mobile officielle Bitwarden vers la 2026.7.0 ou plus récente, votre serveur Vaultwarden doit passer en 1.37.0 pour continuer à fonctionner correctement avec ces clients.
Les autres nouveautés de la 1.37.0
Le reste de la version est plus discret : prise en charge des paramètres de stockage S3 basés sur OpenDAL, plusieurs améliorations des flux d’authentification SSO/OIDC, un changement qui fait que Vaultwarden rejette désormais une variable DATABASE_URL non reconnue au lieu de basculer silencieusement vers SQLite, la prise en charge des proxys de confiance avec limitation de débit pour les requêtes non authentifiées, et un passage à l’édition Rust 2024 sous le capot. Rien de tout ça ne change l’usage au quotidien, mais ça peut expliquer un comportement inattendu si vous dépannez un déploiement après la mise à jour.
Mettre à jour
Mettre à jour Vaultwarden revient à récupérer la nouvelle image et à recréer le conteneur, il n’y a pas de mise à jour binaire à faire sur place. Avec Docker Compose, ça se résume à docker compose pull suivi de docker compose up -d pour le service vaultwarden. Sauvegardez d’abord votre répertoire de données, comme pour toute mise à jour qui touche au code d’authentification et d’accès aux chiffrements.
Pour comparer Vaultwarden à la pile officielle Bitwarden auto-hébergée ou à une solution locale comme KeePassXC, notre guide comparatif des gestionnaires de mots de passe fait le point. Les détails techniques complets et le changelog de la 1.37.0 sont sur la page des releases GitHub.