Vaultwarden 1.37.4 corrige sept failles de sécurité, dont une faille d’accès aux organisations jugée élevée

Lire cet article en anglais : Vaultwarden 1.37.4 Fixes Seven Security Advisories

Vaultwarden, la réimplémentation non officielle du serveur Bitwarden écrite en Rust, vient de publier la version 1.37.4. Cette mise à jour, sortie le 5 octobre 2026, corrige sept avis de sécurité d’après le changelog officiel sur GitHub — tous liés au fonctionnement des organisations et au partage d’identifiants.

Si vous faites tourner Vaultwarden pour un foyer ou une petite équipe, mieux vaut ne pas laisser traîner cette mise à jour. Aucune des failles n’est classée Critical, mais l’une d’elles est classée High, et elle touche justement le contrôle d’accès sur lequel on compte quand on retire quelqu’un d’une organisation.

Le correctif le plus sérieux : la révocation des membres d’organisation

L’avis principal, GHSA-69q9-v8p6-xvx3, est classé High (8.1). Il décrit un cas où un membre retiré d’une organisation Vaultwarden pouvait, sous certaines conditions, conserver l’accès aux ciphers — les entrées chiffrées d’identifiants — appartenant à cette organisation. Autrement dit : un ancien collaborateur ou un proche dont vous pensiez avoir coupé l’accès a pu garder une fenêtre ouverte sur des éléments de coffre partagés, jusqu’à ce correctif. Aucun identifiant CVE n’a encore été attribué à ces avis ; seules des références GHSA existent pour le moment.

Si vous gérez des coffres partagés en famille ou en petite structure, c’est le correctif qui compte le plus. Et si vous avez déjà révoqué des membres d’une organisation par le passé, la mise à jour immédiate règle la question d’un éventuel accès résiduel.

Les six autres avis

Les six autres problèmes sont classés Medium ou Low, mais plusieurs touchent des fonctionnalités d’organisation utilisées au quotidien :

• Authentification à deux facteurs — GHSA-7jg8-8m5x-6j9r — Medium (6.8)
• Invitations d’organisation — GHSA-v576-3wvq-xh3c — Medium (6.8)
• Pièces jointes — GHSA-q5x6-grh5-fqgc — Medium (6.5)
• Journaux d’événements d’organisation — GHSA-64mc-4p6f-r7x9 — Medium (4.3)
• Partage de ciphers — GHSA-7ccc-c43j-4p36 — Medium (4.3)
• Clé API d’organisation — GHSA-qwx4-wcv4-mpcv — Low (3.8)

Ce dernier point vient avec une recommandation explicite des mainteneurs : les administrateurs d’organisation pouvaient voir la clé API, donc si vous n’avez pas une confiance totale envers chacun des admins de votre instance, régénérez-la. L’option se trouve dans la console d’administration, au niveau des réglages de l’organisation.

Les changements de comportement à surveiller

D’autres changements, sans lien direct avec la sécurité, peuvent modifier le comportement de votre instance après la mise à jour — surtout si vous passez par un reverse proxy.

• La détection de l’IP cliente change : avec IP_HEADER=X-Forwarded-For, Vaultwarden utilise désormais l’adresse la plus à droite de l’en-tête qui n’est pas un proxy de confiance, au lieu de la plus à gauche comme avant. Si vous comptez sur cet en-tête pour la limitation de débit ou vos journaux, listez bien tous les proxies de votre chaîne dans IP_HEADER_TRUSTED_PROXIES — sinon les IP clientes risquent d’être mal résolues.
• Deux anciens points de terminaison disparaissent : POST /identity/accounts/register et POST /api/accounts/prelogin, déjà remplacés par des flux d’inscription et de connexion plus récents.
• Plusieurs feature flags expérimentaux ont été retirés, dont ceux pour ssh-agent et mutual-tls. Si votre variable EXPERIMENTAL_CLIENT_FEATURE_FLAGS mentionne encore un flag supprimé, l’instance peut refuser de démarrer : vérifiez cette variable avant de relancer le service.
• La commande bw send receive ne fonctionne plus avec les CLI Bitwarden en version 2026.4.2 ou antérieure. Créer et gérer des Sends depuis la CLI reste possible ; seule la réception via cette commande précise exige une CLI plus récente.

Faut-il mettre à jour dès maintenant ?

Un avis High sur la révocation d’accès — un contrôle que la plupart des admins supposent fiable par défaut — suffit à justifier une mise à jour sans attendre. Comme pour toute mise à jour de Vaultwarden, sauvegardez d’abord votre dossier (ou volume) data, et vérifiez votre configuration de proxy de confiance si vous utilisez IP_HEADER.

Ce n’est pas la première fois cette année que les mainteneurs remettent à plat le code des organisations et du partage : nous avions couvert une précédente série de correctifs en version 1.37.0, en juillet, qui réglait huit avis distincts. La 1.37.4 s’inscrit dans la continuité de ce travail.

Pour en savoir plus sur le projet et sa place face au serveur officiel, voir notre fiche Vaultwarden. La mise à jour a aussi été relayée par Self-Hosted Weekly dans son édition de la semaine 41 2026, aux côtés d’autres actualités du monde de l’auto-hébergement survenues la même semaine.