Malakiumin luottamus ja avoimuus

Ajankohtainen tietoturvatutkimus

Tila: Tutkimus valmis — ei suoraa altistumista havaittu tutkituissa Malakium-järjestelmissä.

Alankomaiden NCSC julkaisi 21. lokakuuta 2026 suosituksen NCSC-2026-0443 koskien CVE-2026-109618 ja CVE-2026-109619, jotka tunnetaan yhdessä nimellä PHP2Shell. Molemmat PHP-haavoittuvuudet on arvioitu kriittisiksi (CVSS 9,2/10). PHP-versioissa 8.2, 8.3, 8.4 ja 8.5 ovat haavoittuvia versiot ennen 8.2.35, 8.3.36, 8.4.27 ja 8.5.12; nämä neljä versiota sisältävät korjaukset. Vanhemmille PHP-versioille voi olla tarpeen hankkia päivitykset kyseiseltä toimittajalta. 22. lokakuuta 2026 tutkimme Malakium Website- ja Backend/API-ympäristöt. Tarkastelluissa ympäristöissä ei ollut aktiivista PHP-ajonaikaista. Tämän vuoksi emme havainneet suoraa altistumista näille kahdelle PHP-haavoittuvuudelle kyseisissä osissa. Tutkimus on päättynyt näiden tarkastettujen osien osalta. Tämä arvio ei sulje pois muita haavoittuvuustyyppejä tai tutkimattomia osia.

Turvallisuus ja pääsy

Malakium Desktopissa pääsy on suojattu henkilökohtaisella PIN-koodilla. Käyttöoikeudet määrittävät, mitä jaettua tietoa käyttäjä voi tarkastella tai muokata. Desktop-asennustiedostojen julkaisun yhteydessä tarkistamme digitaalisen allekirjoituksen ja tiedostohashin. Asennustiedostojen tarkistus eroaa päivitysohjelman tekemästä varmennuksesta; tätä arvioidaan erikseen.

Haavoittuvuuksien ilmoittaminen

Arvioimme mahdollisten haavoittuvuuksien ilmoitukset niiden pätevyyden, laajuuden ja vaikutusten perusteella. Ilmoitus ei vielä tarkoita haavoittuvuuden vahvistamista. Erottelumme kattaa ilmoitetut, tutkittavat, vahvistetut ja korjatut tapaukset.

Vastuullinen julkistaminen

Tarvittaessa työskentelemme korjausten parissa ja sovimme, milloin tiedot voidaan vastuullisesti julkaista. Julkaisemme johtopäätökset vasta, kun tosiasiat on riittävästi varmistettu ja julkaisulupa on myönnetty.

Tietoturvatutkimus

Tutkimme kohdennetusti, miten tiedot suojataan ja miten ohjelmistopäivitykset sekä pääsy valvotaan. Alla olevilla aiheilla on kukin oma tutkimustilansa. Julkaisemme valmiit havainnot, kun tosiasiat on tarkistettu ja julkistus sallittu.

Salaus synkronoinnissa

Tutkimus käynnissä

Tutkimme tietojen suojausta synkronoinnin aikana. Emme vielä voi julkaista lopullista tulosta tästä aiheesta.

Ohjelmistopäivitysten varmennus

Tutkimus käynnissä

Desktop-asennustiedostojen digitaalinen allekirjoitus ja tiedostohash tarkistetaan julkaisun yhteydessä. Päivitysohjelman oma varmennus arvioidaan erikseen; tästä julkaistaan johtopäätös tutkimuksen valmistuttua.

Identiteetti ja pääsynhallinta

Tutkimus käynnissä

Arvioimme, miten tiliturvallisuus ja käyttöoikeudet toimivat Malakiumin eri osissa. Tällä hetkellä ei ole julkista lopullista tutkimustulosta tästä aiheesta.