Malakium: vertrouwen en transparantie

Actueel beveiligingsonderzoek

Status: Onderzoek afgerond — geen directe blootstelling vastgesteld in de onderzochte Malakium-systemen.

Op 21 oktober 2026 publiceerde het Nederlandse NCSC advies NCSC-2026-0443 over CVE-2026-109618 en CVE-2026-109619, samen bekend als PHP2Shell. Beide PHP-kwetsbaarheden zijn als kritiek beoordeeld (CVSS 9,2 op 10). In de PHP 8.2-, 8.3-, 8.4- en 8.5-reeksen zijn versies vóór respectievelijk 8.2.35, 8.3.36, 8.4.27 en 8.5.12 getroffen; deze vier versies bevatten de correcties. Voor oudere PHP-versies kunnen updates van de betreffende leverancier nodig zijn. Op 22 oktober 2026 onderzochten we de Malakium Website- en Backend/API-omgevingen. In de gecontroleerde omgevingen was geen actieve PHP-runtime aanwezig. Daardoor stelden we voor deze onderdelen geen directe blootstelling aan deze twee PHP-kwetsbaarheden vast. Het onderzoek is voor deze gecontroleerde onderdelen afgerond. Dit oordeel sluit andere soorten kwetsbaarheden of niet onderzochte onderdelen niet uit.

Beveiliging en toegang

In Malakium Desktop wordt toegang beschermd met een persoonlijke pincode. Toegangsrechten bepalen welke gedeelde informatie iemand kan bekijken of aanpassen. Bij het vrijgeven van Desktop-installatiebestanden controleren we de digitale handtekening en de bestandshash. De controle van installatiebestanden is iets anders dan de verificatie die de updater tijdens het bijwerken uitvoert; dat laatste onderzoeken we afzonderlijk.

Kwetsbaarheden melden

We beoordelen meldingen van mogelijke kwetsbaarheden op hun geldigheid, reikwijdte en gevolgen. Een melding is nog geen bevestiging van een kwetsbaarheid. We onderscheiden gemelde, onderzochte, bevestigde en opgeloste kwesties.

Verantwoord openbaar maken

Waar nodig werken we aan herstel en stemmen we af wanneer details verantwoord openbaar kunnen worden gemaakt. We publiceren conclusies pas wanneer de feiten voldoende zijn vastgesteld en de informatie voor openbaarmaking is goedgekeurd.

Security Research

We onderzoeken gericht hoe gegevens worden beschermd en hoe software-updates en toegang worden gecontroleerd. De onderwerpen hieronder hebben elk hun eigen onderzoeksstatus. We publiceren afgeronde bevindingen wanneer de feiten zijn gecontroleerd en openbaarmaking is toegestaan.

Versleuteling bij synchronisatie

Onderzoek loopt

We onderzoeken de beveiliging van gegevens tijdens synchronisatie. Er is nog geen afgeronde conclusie die we hier als vastgesteld resultaat kunnen publiceren.

Verificatie van software-updates

Onderzoek loopt

De digitale handtekening en bestandshash van Desktop-installatiebestanden worden bij het vrijgeven gecontroleerd. De verificatie door de updater zelf wordt afzonderlijk beoordeeld; hierover publiceren we pas een conclusie wanneer het onderzoek is afgerond.

Identiteit en toegangsbeveiliging

Onderzoek loopt

We beoordelen hoe accountbeveiliging en toegangsrechten in de verschillende onderdelen van Malakium werken. Er is op dit moment geen afgeronde openbare onderzoeksconclusie voor dit onderwerp.