Доверие и прозрачност в Malakium

Актуално изследване на сигурността

Статус: Изследването е завършено — не е установено директно излагане в изследваните Malakium системи.

На 21 октомври 2026 г. холандският NCSC публикува съвет NCSC-2026-0443 относно CVE-2026-109618 и CVE-2026-109619, известни заедно като PHP2Shell. И двете PHP уязвимости са оценени като критични (CVSS 9,2 от 10). В серията PHP 8.2, 8.3, 8.4 и 8.5 са засегнати версиите преди съответно 8.2.35, 8.3.36, 8.4.27 и 8.5.12; тези четири версии съдържат корекциите. За по-стари PHP версии може да са необходими актуализации от съответния доставчик. На 22 октомври 2026 г. изследвахме Malakium Website и Backend/API среди. В проверените среди не беше налична активна PHP runtime среда. Поради това не установихме директно излагане на тези две PHP уязвимости в тези компоненти. Изследването за тези проверени компоненти е приключено. Това становище не изключва други видове уязвимости или неизследвани компоненти.

Сигурност и достъп

В Malakium Desktop достъпът е защитен с личен пинкод. Правата за достъп определят каква споделена информация може да се преглежда или променя. При пускане на Desktop инсталационни файлове проверяваме цифровия подпис и хеша на файла. Контролът на инсталационните файлове е различен от проверката, която updater извършва при обновяване; последното се изследва отделно.

Докладване на уязвимости

Оценяваме докладите за възможни уязвимости по тяхната валидност, обхват и последствия. Докладът не е потвърждение за уязвимост. Разграничаваме докладвани, изследвани, потвърдени и отстранени проблеми.

Отговорно оповестяване

При необходимост работим по отстраняване и координираме кога детайлите могат да бъдат отговорно оповестени. Публикуваме заключения едва когато фактите са достатъчно установени и информацията за оповестяване е одобрена.

Изследване на сигурността

Изследваме целенасочено как се защитава информацията и как се контролират софтуерните актуализации и достъпът. Темите по-долу имат отделен статус на изследване. Публикуваме завършени резултати, когато фактите са проверени и оповестяването е разрешено.

Криптиране при синхронизация

Изследването продължава

Изследваме сигурността на данните по време на синхронизация. Все още няма завършен извод, който да публикуваме тук като установен резултат.

Проверка на софтуерни актуализации

Изследването продължава

Цифровият подпис и хешът на Desktop инсталационните файлове се проверяват при пускане. Проверка от updater-а се оценява отделно; ще публикуваме заключение след приключване на изследването.

Идентичност и защита на достъпа

Изследването продължава

Оценяваме как работи сигурността на акаунтите и правата за достъп в различните компоненти на Malakium. Към момента няма завършено публично изследване по тази тема.