# Matomo biztonság a PHP2Shell után: saját üzemeltetésű webanalitika védelme

> Matomo védelme a PHP2Shell után: PHP megtekintése a rendszerellenőrzésben, matomo.js és config.ini.php ellenőrzése, tokenek és superuserek átnézése.

Forrás: https://phpsos.de/hu/plattformen/matomo/  
Állapot: 2026. 10. 25.  
Szolgáltató: PHP SOS, PHP-vészhelyzeti segítség és szerverbiztonság. Azonnali segítség WhatsAppon: https://wa.me/491736494914?text=%C3%9Cdv%C3%B6zl%C3%B6m%2C%20PHP%20SOS%21%20Seg%C3%ADts%C3%A9gre%20van%20sz%C3%BCks%C3%A9g%C3%BCnk%20a%20PHP-szerver%C3%BCnkkel.%20C%C3%A9g%3A%20%E2%80%A6%20Weboldal%3A%20%E2%80%A6

**Röviden:** A Matomo biztonsága a PHP2Shell után több, mint statisztikai kérdés. Egy feltört Matomo-szerver a tracker-szkripten át kódot juttathat be minden csatlakoztatott weboldalba. Javítsa a PHP-t a webhez és az archiváláshoz, indítson újra, majd ellenőrizze a `matomo.js`, a `config.ini.php` fájlt, a superusereket és az auth-tokeneket.

## Miért számít különösen a Matomo a PHP2Shell után

Sok vállalkozás, hatóság és ügynökség használja a Matomót az adatvédelmi szempontból barátságos alternatívaként a külső elemző szolgáltatások helyett, és maga üzemelteti, gyakran saját aldomainen. A Matomo PHP-n fut. A CVE-2026-109618 és a CVE-2026-109619 rések a PHP-csapat szerint lehetővé teszik kártékony kód távoli futtatását bejelentkezés nélkül, bármennyire naprakész is a Matomo. Hogy mi áll a rések mögött, azt a [Mi az a PHP2Shell?](https://phpsos.de/hu/php2shell/was-ist-php2shell/) oldal magyarázza el.

A Matomo különlegessége a hatótávolság. Minden követett weboldal a Matomo-szerverről tölti be a tracker-szkriptet. Ha a `matomo.js` módosul, idegen kód fut ezeknek a weboldalaknak az összes látogatója böngészőjében, ott is, ahol maga a weboldal tiszta. Egy ügynökség, amelynek sok ügyfélhez egy központi Matomo-ja van, ezzel mindenki számára kockázatot visel.

Ehhez jönnek az adatok: látogatási naplók, a beállítástól függően csonkolt vagy teljes IP-címek, oldalmegnyitások, kampány- és űrlapadatok a bővítményekből. A bejelentési kötelezettségekre vonatkozó általános tudnivalókat a Compliance területen találja; az egyedi esetben az adatvédelmi felelőse dönt.

## Matomo biztonság: a PHP-verzió és az archiválás ellenőrzése

Az **Adminisztráció > Diagnosztika > Rendszerellenőrzés** alatt a Matomo megmutatja a PHP-verziót, és feltételeket ellenőriz, köztük a programfájlok integritását. A javított upstream verziók: 8.5.12, 8.4.27, 8.3.36 és 8.2.35; a disztribúciók backportjai gyakran régebbi számot viselnek.

A jelentéseket a Matomo a nagyobb telepítéseknél egy cron-feladattal, a parancssori PHP-val állítja elő. Ez a verzió eltérhet a webes PHP-tól, és ugyanúgy javítottnak kell lennie. Hogy a Matomo-verziója mely PHP-verziókat támogatja, azt a rendszerkövetelmények szerint a matomo.org oldalon ellenőrizheti.

```bash
# A diagnosztika kiírása a parancssorban, mint a rendszerellenőrzésben
./console diagnostics:run
# A tracker-fájlok módosítási dátumának megtekintése
ls -l matomo.js piwik.js
```

## Hol lapul a kártékony kód a Matomóban

| Hely | Tartalom | Ellenőrzési pont |
|---|---|---|
| `matomo.js`, `piwik.js` | tracker-szkript az összes weboldalhoz | tartalom és módosítás dátuma, integritásellenőrzés |
| `config/config.ini.php` | adatbázis-hozzáférés, salt, megbízható hosztok | beszúrt értékek, a hozzáférés megújítása gyanú esetén |
| `plugins/` | a Marketplace és saját bővítmények | ismeretlen vagy módosított bővítmények |
| `tmp/` | gyorsítótár, generált assetek, lefordított sablonok | tisztítás után kiüríteni |
| `misc/user/` | saját logók és testreszabások | nincs PHP-fájl |

Egyes bővítmények újraírják a tracker-fájlt, hogy saját funkciókat építsenek be. Ezért a `matomo.js` sok szerveren írható a webszerver számára, ami vonzóvá teszi a támadók számára. Gyanú esetén pontosan ellenőrizze a tartalmát, és vesse össze a verziója eredeti csomagjával.

> **Azonnal cselekedjen:**
> Ha idegen kódot talál a tracker-szkriptben, távolítsa el átmenetileg a Matomo követőkódot a csatlakoztatott weboldalakról, vagy zárolja a fájlt. Minden perc, amíg a szkript kiszolgálja a kódot, további látogatókat érint.

## Superuserek, tokenek és bővítmények

A superusereknek a Matomóban teljes jogaik vannak, a bővítményekre és a rendszerbeállításokra is. Ellenőrizze a felhasználói listát ismeretlen superuserek szempontjából, és kapcsolja be a Matomo beépített kétfaktoros bejelentkezését. A személyes biztonsági beállítások alatti auth-tokenek jelszó nélküli API-hozzáférést engednek; gyanú esetén újítsa meg őket.

A Marketplace bővítményei bővítik a Matomót, de saját kódot hoznak magukkal. Csak azt tartsa meg, amire szükség van, és ha lehet, korlátozza az Adminisztráció elérését ismert hálózatokra. A csatlakoztatott weboldalakon segít egy Content-Security-Policy, amely szkripteket csak ismert forrásokból enged; erről bővebben a [Biztonsági fejlécek weboldalakhoz](https://phpsos.de/hu/ratgeber/sicherheits-header/) oldalon.

## Mit tud egy Matomo-frissítés, és mit nem

Egy Matomo-frissítés lecseréli a programfájlokat, és lezárja az ismert hibákat. A PHP-t nem javítja, sem a PHP-FPM-et, sem az archiváló cron-feladatokat nem indítja újra, és idegen superusereket, tokeneket vagy bővítményeket nem távolít el. Hogy a javítás előtt szolgáltak-e ki kódot a látogatóknak, azt egy frissítés nem válaszolja meg; ehhez naplókra van szükség 2026. 10. 20-tól.

Ha a Matomót csak belsőleg értékelik, az Adminisztráció a céges hálózatra korlátozható, miközben csak a követési végpontok maradnak nyilvánosak. Ide tartozik a tracker-szkript és a végpont, amelyre a látogatásokat jelentik; hogy melyek ezek a fájlok az Ön verziójában, azt az üzemeltetőjével határozza meg. Így a webes felület támadási felülete kicsi marad. A PHP2Shell ellen ez azonban nem pótolja a javítást, mert a követési végpont is a PHP-n át fut.

## Hogyan segít konkrétan a PHP SOS?

- Ellenőrizzük a Matomo-szervere web- és CLI-s PHP-ját, és megerősíttetjük a javítást és az újraindítást.
- Mentjük a naplókat, és összevetjük a `matomo.js` fájlt és a programfájlokat az eredetivel.
- Ellenőrizzük a konfigurációt, a bővítményeket, a superusereket és a tokeneket, és Önnel együtt megújítjuk a hozzáféréseket.
- Kiszolgált kártékony kód esetén a [vészhelyzeti segítségünk](https://phpsos.de/hu/leistungen/website-gehackt-notfallhilfe/) koordinálja a Matomo és a csatlakoztatott weboldalak megtisztítását.


## Gyakori kérdések

**Miért olyan veszélyes egy feltört Matomo-szerver?**  
Minden követett weboldal a Matomo-szerverről tölti be a tracker-szkriptet. Ha ezt a fájlt módosítják, idegen kód fut az összes csatlakoztatott weboldal összes látogatójának böngészőjében. Egyetlen elemző szerver így elosztóvá válik.

**Hol látom a Matomóban a PHP-verziót?**  
Az Adminisztráció > Diagnosztika > Rendszerellenőrzés alatt. Ott a Matomo megmutatja a PHP-verziót, és további feltételeket ellenőriz, a fájlok integritását is. Backportot ebből nem ismer fel; ezt az üzemeltetője erősíti meg.

**Gyanú esetén meg kell újítanom a Matomo-tokeneket?**  
Igen. Az auth-tokenek jelszó nélkül engedik a Matomo API elérését. Újítsa meg őket az összes felhasználónak, és vezesse be az új tokeneket a csatlakoztatott rendszerekben, például irányítópultokban vagy jelentéskészítő eszközökben.

## Források

- [php.net: biztonsági közlemények](https://www.php.net/)
- [Matomo](https://matomo.org/)
- [OWASP Cheat Sheets](https://cheatsheetseries.owasp.org/)
- [GDPR 33. cikk](https://dsgvo-gesetz.de/art-33-dsgvo/)