Zaufanie i przejrzystość Malakium

Aktualne badania bezpieczeństwa

Status: Badanie zakończone — nie stwierdzono bezpośredniej ekspozycji w badanych systemach Malakium.

21 października 2026 roku holenderskie NCSC opublikowało zalecenie NCSC-2026-0443 dotyczące CVE-2026-109618 i CVE-2026-109619, znanych razem jako PHP2Shell. Obie podatności PHP oceniono jako krytyczne (CVSS 9,2 na 10). W seriach PHP 8.2, 8.3, 8.4 i 8.5 podatne są wersje wcześniejsze odpowiednio niż 8.2.35, 8.3.36, 8.4.27 i 8.5.12; te cztery wersje zawierają poprawki. Dla starszych wersji PHP mogą być potrzebne aktualizacje od odpowiednich dostawców. 22 października 2026 przeprowadziliśmy badanie środowisk Malakium Website i Backend/API. W kontrolowanych środowiskach nie było aktywnego środowiska wykonawczego PHP. W związku z tym nie stwierdziliśmy bezpośredniej ekspozycji na te dwie podatności PHP w tych komponentach. Badanie dla tych kontrolowanych części zostało zakończone. Ta ocena nie wyklucza innych rodzajów podatności ani niebadanych komponentów.

Bezpieczeństwo i dostęp

W Malakium Desktop dostęp chroniony jest osobistym kodem PIN. Uprawnienia dostępu określają, jakie udostępnione informacje można przeglądać lub modyfikować. Przy udostępnianiu plików instalacyjnych Desktop sprawdzamy podpis cyfrowy i sumę kontrolną pliku. Kontrola plików instalacyjnych różni się od weryfikacji wykonywanej przez updater podczas aktualizacji; tę ostatnią ocenę prowadzimy osobno.

Zgłaszanie podatności

Oceniamy zgłoszenia potencjalnych podatności pod kątem ich prawdziwości, zakresu i skutków. Zgłoszenie nie jest potwierdzeniem podatności. Rozróżniamy zgłoszone, zbadane, potwierdzone i rozwiązane kwestie.

Odpowiedzialne ujawnianie

W razie potrzeby pracujemy nad naprawą i koordynujemy moment, w którym szczegóły mogą być odpowiedzialnie upublicznione. Publikujemy wnioski dopiero, gdy fakty zostaną wystarczająco ustalone, a informacje do ujawnienia zatwierdzone.

Badania bezpieczeństwa

Badamy celowo, jak chronione są dane oraz jak kontrolowane są aktualizacje oprogramowania i dostęp. Poniższe tematy mają swoje własne statusy badawcze. Publikujemy zakończone ustalenia, gdy fakty zostaną zweryfikowane i ujawnienie jest dozwolone.

Szyfrowanie podczas synchronizacji

Badanie w toku

Badamy zabezpieczenia danych podczas synchronizacji. Nie ma jeszcze zakończonego wniosku, który moglibyśmy tu opublikować jako ustalony wynik.

Weryfikacja aktualizacji oprogramowania

Badanie w toku

Podpis cyfrowy i suma kontrolna plików instalacyjnych Desktop są sprawdzane przy udostępnianiu. Weryfikacja przez samego updatera jest oceniana osobno; wnioski na ten temat opublikujemy po zakończeniu badania.

Tożsamość i zabezpieczenia dostępu

Badanie w toku

Oceniamy, jak działa zabezpieczenie kont i uprawnienia dostępu w różnych komponentach Malakium. Obecnie nie ma zakończonego publicznego wniosku badawczego w tym temacie.