Confianza y transparencia de Malakium

Investigación de seguridad actual

Estado: Investigación finalizada — no se detectó exposición directa en los sistemas Malakium examinados.

El 21 de octubre de 2026, el NCSC de los Países Bajos publicó el aviso NCSC-2026-0443 sobre CVE-2026-109618 y CVE-2026-109619, conocidos conjuntamente como PHP2Shell. Ambas vulnerabilidades de PHP fueron calificadas como críticas (CVSS 9,2 de 10). En las series PHP 8.2, 8.3, 8.4 y 8.5, las versiones anteriores a 8.2.35, 8.3.36, 8.4.27 y 8.5.12 respectivamente están afectadas; estas cuatro versiones contienen las correcciones. Para versiones anteriores de PHP pueden ser necesarias actualizaciones del proveedor correspondiente. El 22 de octubre de 2026 examinamos los entornos Malakium Website y Backend/API. En los entornos controlados no había un runtime PHP activo. Por ello, no detectamos exposición directa a estas dos vulnerabilidades PHP en estos componentes. La investigación para estos componentes controlados está finalizada. Esta evaluación no excluye otros tipos de vulnerabilidades ni componentes no examinados.

Seguridad y acceso

En Malakium Desktop el acceso está protegido con un código PIN personal. Los derechos de acceso determinan qué información compartida puede ver o modificar alguien. Al liberar los archivos de instalación de Desktop verificamos la firma digital y el hash del archivo. La verificación de los archivos de instalación es diferente de la verificación que realiza el actualizador durante la actualización; esta última se investiga por separado.

Reportar vulnerabilidades

Evaluamos los reportes de posibles vulnerabilidades según su validez, alcance y consecuencias. Un reporte no es una confirmación de vulnerabilidad. Distinguimos entre cuestiones reportadas, investigadas, confirmadas y resueltas.

Divulgación responsable

Cuando es necesario trabajamos en la corrección y coordinamos cuándo los detalles pueden hacerse públicos de forma responsable. Publicamos conclusiones solo cuando los hechos están suficientemente establecidos y la información para divulgación ha sido aprobada.

Investigación de seguridad

Investigamos específicamente cómo se protegen los datos y cómo se controlan las actualizaciones de software y el acceso. Los temas a continuación tienen cada uno su propio estado de investigación. Publicamos hallazgos concluidos cuando los hechos han sido verificados y la divulgación está permitida.

Cifrado en la sincronización

Investigación en curso

Investigamos la seguridad de los datos durante la sincronización. No hay una conclusión finalizada que podamos publicar aquí como resultado establecido.

Verificación de actualizaciones de software

Investigación en curso

La firma digital y el hash de los archivos de instalación de Desktop se verifican al liberarlos. La verificación realizada por el propio actualizador se evalúa por separado; publicaremos una conclusión solo cuando la investigación esté finalizada.

Identidad y seguridad de acceso

Investigación en curso

Evaluamos cómo funcionan la seguridad de cuentas y los derechos de acceso en las diferentes partes de Malakium. Actualmente no hay una conclusión pública finalizada para este tema.