Ukratko: Matomo sigurnost nakon PHP2Shella više je od pitanja statistike. Kompromitirani Matomo poslužitelj putem tracker skripte može ubaciti kôd u svaku povezanu web-stranicu. Zakrpajte PHP za web i arhiviranje, ponovno pokrenite i potom provjerite matomo.js, config.ini.php, superusere i auth tokene.
Zašto Matomo nakon PHP2Shella osobito vrijedi
Mnoga poduzeća, tijela vlasti i agencije koriste Matomo kao alternativu vanjskim analitičkim uslugama prihvatljivijom za zaštitu podataka i sami ga vode, često na vlastitoj poddomeni. Matomo radi na PHP-u. Ranjivosti CVE-2026-109618 i CVE-2026-109619 prema PHP timu omogućuju zlonamjerni kôd na daljinu bez prijave, bez obzira na to koliko je Matomo aktualan. Što stoji iza ranjivosti, objašnjava stranica Što je PHP2Shell?.
Posebnost Matomoa je doseg. Svaka praćena web-stranica učitava tracker skriptu s Matomo poslužitelja. Ako se matomo.js izmijeni, tuđi kôd izvršava se u pregledniku svih posjetitelja tih web-stranica, i ondje gdje je sama web-stranica čista. Agencija s jednim središnjim Matomom za mnogo klijenata time nosi rizik za sve njih.
Tu su i podaci: zapisnici posjeta, ovisno o postavkama skraćene ili potpune IP adrese, pozivi stranica, podaci o kampanjama i obrascima iz dodataka. Opće napomene o obvezama prijave naći ćete u području Compliance; u pojedinačnom slučaju odlučuje Vaš službenik za zaštitu podataka.
Matomo sigurnost: provjera verzije PHP-a i arhiviranja
Pod Administracija > Dijagnostika > Provjera sustava Matomo prikazuje verziju PHP-a i provjerava preduvjete, među njima integritet programskih datoteka. Ispravljene upstream verzije su 8.5.12, 8.4.27, 8.3.36 i 8.2.35; backportovi distribucija često nose starije brojeve.
Izvješća kod većih instalacija Matomo generira putem cron zadatka s PHP-om naredbenog retka. Ta verzija može odstupati od web PHP-a i također mora biti zakrpana. Koje PHP verzije podržava Vaša verzija Matomoa, provjerite prema sistemskim zahtjevima na matomo.org.
# Ispis dijagnostike kao u provjeri sustava u naredbenom retku
./console diagnostics:run
# Pogled na datum izmjene tracker datoteka
ls -l matomo.js piwik.js
Gdje se zlonamjerni kôd nalazi u Matomou
| Mjesto | Sadržaj | Točka provjere |
|---|---|---|
matomo.js, piwik.js |
Tracker skripta za sve web-stranice | Sadržaj i datum izmjene, provjera integriteta |
config/config.ini.php |
Pristup bazi podataka, salt, pouzdani hostovi | Umetnute vrijednosti, nakon sumnje obnoviti pristup |
plugins/ |
Dodaci s Marketplacea i vlastiti | Nepoznati ili izmijenjeni dodaci |
tmp/ |
Predmemorija, generirani assetsi, kompilirani predlošci | Nakon čišćenja isprazniti |
misc/user/ |
Vlastiti logotipi i prilagodbe | Nema PHP datoteka |
Neki dodaci ponovno pišu tracker datoteku kako bi uključili vlastite funkcije. Zato je matomo.js na mnogim poslužiteljima dostupan za pisanje web-poslužitelju, što je čini privlačnom napadačima. Nakon sumnje pažljivo provjerite sadržaj i usporedite ga s originalnim paketom svoje verzije.
Ako u tracker skripti nađete strani kôd, privremeno uklonite Matomo tracking kôd s povezanih web-stranica ili blokirajte datoteku. Inače je svake minute isporučuje novim posjetiteljima.
Superuseri, tokeni i dodaci
Superuseri u Matomou imaju sva prava, i za dodatke i sistemske postavke. Provjerite popis korisnika na nepoznate superusere i aktivirajte dvofaktorsku prijavu koju Matomo donosi. Auth tokeni u osobnim sigurnosnim postavkama omogućuju API pristup bez lozinke; nakon sumnje obnovite ih.
Dodaci s Marketplacea proširuju Matomo, ali donose vlastiti kôd. Zadržite samo ono što se koristi i, ako je moguće, ograničite pristup administraciji na poznate mreže. Na povezanim web-stranicama pomaže Content Security Policy koja dopušta skripte samo iz poznatih izvora; više o tome na stranici Sigurnosna zaglavlja za web-stranice.
Što Matomo ažuriranje može, a što ne
Matomo ažuriranje zamjenjuje programske datoteke i zatvara poznate pogreške. Ne zakrpava PHP, ne pokreće ponovno ni PHP-FPM ni cron zadatke arhiviranja i ne uklanja strane superusere, tokene ili dodatke. Je li se prije zakrpe posjetiteljima isporučivao kôd, ažuriranje ne odgovara; za to su potrebni logovi od 20.10.2026.
Ako se Matomo samo interno analizira, administracija se može ograničiti na mrežu tvrtke, dok javno ostaju samo tracking krajnje točke. Tu spadaju tracker skripta i krajnja točka na koju se javljaju posjeti; koje su to datoteke u Vašoj verziji, utvrdite sa svojim operaterom. Tako površina napada web-sučelja ostaje mala. Protiv PHP2Shella to ipak ne zamjenjuje zakrpu jer i tracking krajnja točka radi preko PHP-a.
Kako PHP SOS konkretno pomaže?
- Provjeravamo web i CLI PHP Vašeg Matomo poslužitelja te dajemo potvrditi zakrpu i ponovno pokretanje.
- Osiguravamo logove i uspoređujemo
matomo.jsi programske datoteke s originalom. - Provjeravamo konfiguraciju, dodatke, superusere i tokene te s Vama obnavljamo pristupe.
- Kod isporučenog zlonamjernog koda naša hitna pomoć koordinira čišćenje Matomoa i povezanih web-stranica.
Česta pitanja
Zašto je hakirani Matomo poslužitelj toliko opasan?
Svaka praćena web-stranica učitava tracker skriptu s Matomo poslužitelja. Ako se ta datoteka izmijeni, tuđi kôd izvršava se u pregledniku svih posjetitelja svih povezanih web-stranica. Jedan analitički poslužitelj tako postaje distributer.
Gdje u Matomou vidim verziju PHP-a?
Pod Administracija > Dijagnostika > Provjera sustava. Tamo Matomo prikazuje verziju PHP-a i provjerava ostale preduvjete, uključujući integritet datoteka. Backport po tome ne prepoznajete; to potvrđuje Vaš operater.
Moram li nakon sumnje obnoviti Matomo tokene?
Da. Auth tokeni omogućuju pristup Matomo API-ju bez lozinke. Obnovite ih za sve korisnike i nove tokene unesite u povezane sustave poput nadzornih ploča ili alata za izvješćivanje.