En resumen: tras PHP2Shell, la seguridad en Matomo es más que una cuestión de estadísticas. Un servidor Matomo comprometido puede introducir código, mediante el script de seguimiento, en cada sitio web conectado. Parchee PHP para la web y el archivado, reinicie y revise después matomo.js, config.ini.php, los superusuarios y los tokens de autenticación.
Por qué Matomo importa especialmente tras PHP2Shell
Muchas empresas, administraciones y agencias utilizan Matomo como alternativa respetuosa con la privacidad frente a servicios de analítica externos y lo operan ellas mismas, a menudo en un subdominio propio. Matomo se ejecuta sobre PHP. Según el equipo de PHP, las vulnerabilidades CVE-2026-109618 y CVE-2026-109619 permiten ejecutar código malicioso de forma remota y sin autenticación, por muy actualizado que esté Matomo. Qué hay detrás de las vulnerabilidades se explica en ¿Qué es PHP2Shell?.
Lo particular de Matomo es su alcance. Cada sitio web rastreado carga el script de seguimiento desde el servidor Matomo. Si se modifica matomo.js, se ejecuta código ajeno en el navegador de todos los visitantes de esos sitios web, incluso allí donde el propio sitio está limpio. Una agencia con un Matomo central para muchos clientes asume así un riesgo para todos ellos.
A ello se suman los datos: registros de visitas, direcciones IP acortadas o completas según la configuración, páginas vistas, datos de campañas y de formularios procedentes de plugins. Encontrará indicaciones generales sobre obligaciones de notificación en el área de cumplimiento normativo; en cada caso decide su delegado de protección de datos.
Seguridad en Matomo: comprobar la versión de PHP y el archivado
En Administración > Diagnóstico > Comprobación del sistema, Matomo muestra la versión de PHP y comprueba requisitos, entre ellos la integridad de los archivos del programa. Las versiones corregidas de origen son 8.5.12, 8.4.27, 8.3.36 y 8.2.35; los backports de las distribuciones suelen llevar números más antiguos.
En instalaciones más grandes, Matomo genera los informes mediante un cron job con el PHP de línea de comandos. Esa versión puede diferir del PHP web y también debe estar parcheada. Qué versiones de PHP admite su versión de Matomo puede consultarlo, según los requisitos del sistema, en matomo.org.
# Mostrar en la línea de comandos el diagnóstico de la comprobación del sistema
./console diagnostics:run
# Ver la fecha de modificación de los archivos del tracker
ls -l matomo.js piwik.js
Dónde se aloja el código malicioso en Matomo
| Lugar | Contenido | Punto de control |
|---|---|---|
matomo.js, piwik.js |
Script de seguimiento para todos los sitios web | Contenido y fecha de modificación, comprobación de integridad |
config/config.ini.php |
Acceso a la base de datos, salt, hosts de confianza | Valores añadidos; renovar el acceso ante una sospecha |
plugins/ |
Plugins del Marketplace y propios | Plugins desconocidos o modificados |
tmp/ |
Caché, assets generados, plantillas compiladas | Vaciar tras la limpieza |
misc/user/ |
Logotipos propios y personalizaciones | Sin archivos PHP |
Algunos plugins reescriben el archivo del tracker para integrar funciones propias. Por eso, en muchos servidores matomo.js tiene permiso de escritura para el servidor web, lo que lo hace atractivo para los atacantes. Ante una sospecha, revise su contenido con detalle y compárelo con el paquete original de su versión.
Si encuentra código ajeno en el script de seguimiento, elimine temporalmente el código de seguimiento de Matomo de los sitios web conectados o bloquee el archivo. De lo contrario, cada minuto lo entregará a más visitantes.
Superusuarios, tokens y plugins
Los superusuarios tienen en Matomo todos los derechos, también sobre plugins y ajustes del sistema. Revise la lista de usuarios en busca de superusuarios desconocidos y active la autenticación en dos pasos que incluye Matomo. Los tokens de autenticación, en los ajustes de seguridad personales, permiten accesos a la API sin contraseña; renuévelos ante una sospecha.
Los plugins del Marketplace amplían Matomo, pero aportan código propio. Conserve solo lo que se necesite y, si es posible, restrinja el acceso a la administración a redes conocidas. En los sitios web conectados ayuda una Content-Security-Policy que permita scripts solo de fuentes conocidas; encontrará más información en Cabeceras de seguridad para sitios web.
Lo que puede y no puede hacer una actualización de Matomo
Una actualización de Matomo sustituye los archivos del programa y cierra errores conocidos. No parchea PHP, no reinicia ni PHP-FPM ni los cron jobs de archivado y no elimina superusuarios, tokens ni plugins ajenos. Si antes del parche se entregó código a los visitantes no lo responde una actualización; para ello hacen falta registros a partir del 20/10/2026.
Si Matomo solo se analiza internamente, la administración puede limitarse a la red de la empresa mientras solo los puntos finales de seguimiento permanecen públicos. Entre ellos están el script de seguimiento y el punto final al que se notifican las visitas; qué archivos son en su versión lo determina usted con su operador. Así la superficie de ataque de la interfaz web se mantiene pequeña. Frente a PHP2Shell, eso no sustituye al parche, porque también el punto final de seguimiento se ejecuta mediante PHP.
¿Cómo ayuda PHP SOS en concreto?
- Revisamos el PHP web y el PHP de CLI de su servidor Matomo y hacemos que se confirmen el parche y el reinicio.
- Guardamos registros y comparamos
matomo.jsy los archivos del programa con el original. - Revisamos la configuración, los plugins, los superusuarios y los tokens y renovamos los accesos con usted.
- Si se ha entregado código malicioso, nuestra ayuda de emergencia coordina la limpieza de Matomo y de los sitios web conectados.
Preguntas frecuentes
¿Por qué es tan peligroso un servidor Matomo hackeado?
Cada sitio web rastreado carga el script de seguimiento desde el servidor Matomo. Si ese archivo se modifica, se ejecuta código ajeno en el navegador de todos los visitantes de todos los sitios conectados. Un solo servidor de analítica se convierte así en un distribuidor.
¿Dónde veo la versión de PHP en Matomo?
En Administración > Diagnóstico > Comprobación del sistema. Allí Matomo muestra la versión de PHP y comprueba otros requisitos, también la integridad de los archivos. El número no permite reconocer un backport; eso lo confirma su operador.
¿Debo renovar los tokens de Matomo ante una sospecha?
Sí. Los tokens de autenticación permiten acceder a la API de Matomo sin contraseña. Renuévelos para todos los usuarios e introduzca los tokens nuevos en los sistemas conectados, como paneles o herramientas de informes.