Kort sagt: Matomo-sikkerhed er efter PHP2Shell mere end et spørgsmål om statistik. En kompromitteret Matomo-server kan via tracker-scriptet indsmugle kode i ethvert tilsluttet website. Patch PHP til web og arkivering, genstart, og kontrollér derefter matomo.js, config.ini.php, superbrugere og auth-tokens.
Hvorfor Matomo tæller særligt efter PHP2Shell
Mange virksomheder, myndigheder og bureauer bruger Matomo som et databeskyttelsesvenligt alternativ til eksterne analysetjenester og driver det selv, ofte på et eget subdomæne. Matomo kører på PHP. Sårbarhederne CVE-2026-109618 og CVE-2026-109619 gør det ifølge PHP-teamet muligt at køre skadelig kode på afstand uden login, uanset hvor aktuel Matomo er. Hvad der ligger bag sårbarhederne, forklarer Hvad er PHP2Shell?.
Det særlige ved Matomo er rækkevidden. Hvert sporet website indlæser tracker-scriptet fra Matomo-serveren. Ændres matomo.js, kører fremmed kode i browseren hos alle besøgende på disse websites, også dér hvor selve websitet er rent. Et bureau med en central Matomo til mange kunder bærer dermed en risiko for dem alle.
Dertil kommer dataene: besøgslogs, afhængigt af indstillingen forkortede eller fulde IP-adresser, sidevisninger, kampagne- og formulardata fra plugins. Generelle oplysninger om anmeldelsespligter finder I i området Compliance; i det enkelte tilfælde afgør jeres databeskyttelsesrådgiver.
Matomo-sikkerhed: kontrollér PHP-version og arkivering
Under Administration > Diagnostik > Systemkontrol viser Matomo PHP-versionen og kontrollerer forudsætninger, herunder programfilernes integritet. Rettede upstream-versioner er 8.5.12, 8.4.27, 8.3.36 og 8.2.35; distributioners backports bærer ofte ældre numre.
Rapporterne genererer Matomo ved større installationer via et cronjob med kommandolinje-PHP. Denne version kan afvige fra web-PHP og skal ligeledes være patchet. Hvilke PHP-versioner jeres Matomo-version understøtter, kontrollerer I ifølge systemkravene på matomo.org.
# Udskriv diagnostik som i systemkontrollen på kommandolinjen
./console diagnostics:run
# Se ændringsdatoen for tracker-filerne
ls -l matomo.js piwik.js
Hvor skadelig kode sidder i Matomo
| Sted | Indhold | Kontrolpunkt |
|---|---|---|
matomo.js, piwik.js |
Tracker-script til alle websites | Indhold og ændringsdato, integritetskontrol |
config/config.ini.php |
Databaseadgang, salt, betroede værter | indskudte værdier, forny adgang ved mistanke |
plugins/ |
Plugins fra Marketplace og egne | ukendte eller ændrede plugins |
tmp/ |
Cache, genererede assets, kompilerede skabeloner | tøm efter oprydning |
misc/user/ |
egne logoer og tilpasninger | ingen PHP-filer |
Nogle plugins skriver tracker-filen om for at indbinde egne funktioner. Derfor er matomo.js på mange servere skrivbar for webserveren, hvilket gør den attraktiv for angribere. Kontrollér indholdet nøje ved mistanke, og sammenlign det med originalpakken for jeres version.
Finder I fremmed kode i tracker-scriptet, så fjern Matomo-sporingskoden midlertidigt fra de tilsluttede websites, eller spær filen. Hvert minut leverer den ellers koden til flere besøgende.
Superbrugere, tokens og plugins
Superbrugere har i Matomo fulde rettigheder, også til plugins og systemindstillinger. Kontrollér brugerlisten for ukendte superbrugere, og aktivér den totrinsgodkendelse, som Matomo medbringer. Auth-tokens under de personlige sikkerhedsindstillinger giver API-adgang uden adgangskode; forny dem ved mistanke.
Plugins fra Marketplace udvider Matomo, men medbringer egen kode. Behold kun det, der bruges, og begræns om muligt adgangen til administrationen til kendte netværk. På de tilsluttede websites hjælper en Content Security Policy, som kun tillader scripts fra kendte kilder; mere herom under Sikkerhedsheadere til websites.
Hvad en Matomo-opdatering kan, og hvad den ikke kan
En Matomo-opdatering erstatter programfilerne og lukker kendte fejl. Den patcher ikke PHP, genstarter hverken PHP-FPM eller arkiverings-cronjobs og fjerner ingen fremmede superbrugere, tokens eller plugins. Om der før rettelsen er leveret kode til besøgende, besvarer en opdatering ikke; dertil kræves logs fra 20.10.2026.
Evalueres Matomo kun internt, kan administrationen begrænses til virksomhedens netværk, mens kun tracking-endpunkterne forbliver offentlige. Hertil hører tracker-scriptet og det endpunkt, som besøg meldes til; hvilke filer det er i jeres version, fastlægger I sammen med jeres driftsleverandør. Så forbliver weboverfladens angrebsflade lille. Mod PHP2Shell erstatter det dog ikke rettelsen, for også tracking-endpunktet kører via PHP.
Hvordan hjælper PHP SOS konkret?
- Vi kontrollerer web- og CLI-PHP på jeres Matomo-server og lader rettelse og genstart bekræfte.
- Vi sikrer logs og sammenligner
matomo.jsog programfilerne med originalen. - Vi kontrollerer konfiguration, plugins, superbrugere og tokens og fornyer adgange sammen med jer.
- Ved leveret skadelig kode koordinerer vores nødhjælp oprydningen af Matomo og de tilsluttede websites.
Ofte stillede spørgsmål
Hvorfor er en hacket Matomo-server så farlig?
Hvert sporet website indlæser tracker-scriptet fra Matomo-serveren. Ændres denne fil, kører fremmed kode i browseren hos alle besøgende på alle tilsluttede websites. En enkelt analyseserver bliver sådan til en distributør.
Hvor ser jeg PHP-versionen i Matomo?
Under Administration > Diagnostik > Systemkontrol. Dér viser Matomo PHP-versionen og kontrollerer yderligere forudsætninger, også filernes integritet. En backport kan I ikke se heraf; det bekræfter jeres driftsleverandør.
Skal jeg forny Matomo-tokens ved mistanke?
Ja. Auth-tokens giver adgang til Matomo-API'et uden adgangskode. Forny dem for alle brugere, og indtast de nye tokens i tilsluttede systemer som dashboards eller rapporteringsværktøjer.