Důvěra a transparentnost Malakium

Aktuální bezpečnostní výzkum

Stav: Výzkum dokončen — v kontrolovaných systémech Malakium nebyla zjištěna přímá expozice.

Dne 21. října 2026 vydalo nizozemské NCSC doporučení NCSC-2026-0443 týkající se CVE-2026-109618 a CVE-2026-109619, známých společně jako PHP2Shell. Obě PHP zranitelnosti byly hodnoceny jako kritické (CVSS 9,2 z 10). V řadách PHP 8.2, 8.3, 8.4 a 8.5 jsou zasažené verze před 8.2.35, 8.3.36, 8.4.27 a 8.5.12; tyto čtyři verze obsahují opravy. Pro starší verze PHP mohou být potřeba aktualizace od příslušného dodavatele. Dne 22. října 2026 jsme zkoumali prostředí Malakium Website a Backend/API. V kontrolovaných prostředích nebyl přítomen aktivní PHP runtime. Proto jsme u těchto částí nezjistili přímou expozici těmto dvěma PHP zranitelnostem. Výzkum je u těchto kontrolovaných částí ukončen. Toto hodnocení nevylučuje jiné typy zranitelností nebo nekontrolované části.

Zabezpečení a přístup

V Malakium Desktop je přístup chráněn osobním PIN kódem. Přístupová práva určují, jaké sdílené informace může uživatel zobrazit nebo upravit. Při uvolňování instalačních souborů Desktopu kontrolujeme digitální podpis a hash souboru. Kontrola instalačních souborů se liší od ověření, které provádí updater během aktualizace; to zkoumáme samostatně.

Hlásit zranitelnosti

Hlášení možných zranitelností posuzujeme z hlediska platnosti, rozsahu a dopadů. Hlášení není potvrzením zranitelnosti. Rozlišujeme hlášené, zkoumané, potvrzené a vyřešené problémy.

Zodpovědné zveřejnění

V případě potřeby pracujeme na opravách a koordinujeme, kdy lze detaily zodpovědně zveřejnit. Závěry publikujeme až po dostatečném ověření faktů a schválení informací k zveřejnění.

Bezpečnostní výzkum

Zaměřujeme se na to, jak jsou data chráněna a jak jsou kontrolovány aktualizace softwaru a přístup. Níže uvedená témata mají každé svůj vlastní stav výzkumu. Dokončené závěry zveřejňujeme, jakmile jsou fakta ověřena a zveřejnění povoleno.

Šifrování při synchronizaci

Výzkum probíhá

Zkoumáme zabezpečení dat během synchronizace. Dosud není dokončený závěr, který bychom zde mohli publikovat jako ověřený výsledek.

Ověření aktualizací softwaru

Výzkum probíhá

Digitální podpis a hash souboru instalačních balíčků Desktopu jsou kontrolovány při uvolnění. Ověření updaterem samotným je hodnoceno samostatně; závěr zveřejníme až po dokončení výzkumu.

Identita a zabezpečení přístupu

Výzkum probíhá

Posuzujeme, jak funguje zabezpečení účtů a přístupová práva v různých částech Malakium. V současné době není k tomuto tématu veřejný dokončený závěr výzkumu.