Tillit og åpenhet i Malakium

Aktuell sikkerhetsundersøkelse

Status: Undersøkelse fullført — ingen direkte eksponering funnet i de undersøkte Malakium-systemene.

Den 21. oktober 2026 publiserte det nederlandske NCSC rådet NCSC-2026-0443 om CVE-2026-109618 og CVE-2026-109619, samlet kjent som PHP2Shell. Begge PHP-sårbarhetene er vurdert som kritiske (CVSS 9,2 av 10). I PHP 8.2-, 8.3-, 8.4- og 8.5-seriene er versjoner før henholdsvis 8.2.35, 8.3.36, 8.4.27 og 8.5.12 berørt; disse fire versjonene inneholder rettelsene. For eldre PHP-versjoner kan oppdateringer fra den aktuelle leverandøren være nødvendige. Den 22. oktober 2026 undersøkte vi Malakium Website- og Backend/API-miljøene. I de kontrollerte miljøene var det ingen aktiv PHP-runtime til stede. Derfor fant vi ingen direkte eksponering for disse to PHP-sårbarhetene i disse komponentene. Undersøkelsen er fullført for disse kontrollerte komponentene. Denne vurderingen utelukker ikke andre typer sårbarheter eller ikke undersøkte komponenter.

Sikkerhet og tilgang

I Malakium Desktop beskyttes tilgang med en personlig PIN-kode. Tilgangsrettigheter bestemmer hvilken delt informasjon en person kan se eller endre. Ved utgivelse av Desktop-installasjonsfiler kontrollerer vi den digitale signaturen og filhashen. Kontroll av installasjonsfiler er noe annet enn verifiseringen som oppdatereren utfører under oppdatering; dette undersøker vi separat.

Rapportering av sårbarheter

Vi vurderer rapporter om mulige sårbarheter basert på gyldighet, omfang og konsekvenser. En rapport er ikke en bekreftelse på en sårbarhet. Vi skiller mellom rapporterte, undersøkte, bekreftede og løste saker.

Ansvarlig offentliggjøring

Der det er nødvendig, arbeider vi med utbedring og koordinerer når detaljer kan offentliggjøres på en ansvarlig måte. Vi publiserer konklusjoner først når fakta er tilstrekkelig fastslått og informasjonen er godkjent for offentliggjøring.

Sikkerhetsforskning

Vi undersøker målrettet hvordan data beskyttes og hvordan programvareoppdateringer og tilgang kontrolleres. Temaene nedenfor har hver sin forskningsstatus. Vi publiserer fullførte funn når fakta er verifisert og offentliggjøring er tillatt.

Kryptering ved synkronisering

Undersøkelse pågår

Vi undersøker sikkerheten til data under synkronisering. Det foreligger ennå ingen avsluttet konklusjon som vi kan publisere her som et fastslått resultat.

Verifisering av programvareoppdateringer

Undersøkelse pågår

Den digitale signaturen og filhashen til Desktop-installasjonsfiler kontrolleres ved utgivelse. Verifiseringen som oppdatereren selv utfører vurderes separat; vi publiserer først en konklusjon når undersøkelsen er fullført.

Identitet og tilgangssikkerhet

Undersøkelse pågår

Vi vurderer hvordan kontosikkerhet og tilgangsrettigheter fungerer i de ulike delene av Malakium. Det foreligger per nå ingen avsluttet offentlig forskningskonklusjon for dette temaet.