Kurz gesagt: Matomo-Sicherheit ist nach PHP2Shell mehr als eine Frage der Statistik. Ein kompromittierter Matomo-Server kann über das Tracker-Skript Code in jede angebundene Website einschleusen. Patchen Sie PHP für Web und Archivierung, starten Sie neu und prüfen Sie danach matomo.js, config.ini.php, Superuser und Auth-Tokens.
Warum Matomo nach PHP2Shell besonders zählt
Viele Unternehmen, Behörden und Agenturen setzen Matomo als datenschutzfreundliche Alternative zu externen Analysediensten ein und betreiben es selbst, oft auf einer eigenen Subdomain. Matomo läuft auf PHP. Die Lücken CVE-2026-109618 und CVE-2026-109619 erlauben laut PHP-Team Schadcode aus der Ferne ohne Anmeldung, ganz gleich, wie aktuell Matomo ist. Was hinter den Lücken steckt, erklärt Was ist PHP2Shell?.
Das Besondere an Matomo ist die Reichweite. Jede getrackte Website lädt das Tracker-Skript vom Matomo-Server. Wird matomo.js verändert, läuft fremder Code im Browser aller Besucher dieser Websites, auch dort, wo die Website selbst sauber ist. Eine Agentur mit einem zentralen Matomo für viele Kunden trägt damit ein Risiko für alle.
Dazu kommen die Daten: Besuchsprotokolle, je nach Einstellung gekürzte oder vollständige IP-Adressen, Seitenaufrufe, Kampagnen- und Formulardaten aus Plugins. Allgemeine Hinweise zu Meldepflichten finden Sie im Bereich Compliance; im Einzelfall entscheidet Ihr Datenschutzbeauftragter.
Matomo-Sicherheit: PHP-Version und Archivierung prüfen
Unter Administration > Diagnose > Systemprüfung zeigt Matomo die PHP-Version und prüft Voraussetzungen, darunter die Integrität der Programmdateien. Behobene Upstream-Versionen sind 8.5.12, 8.4.27, 8.3.36 und 8.2.35; Backports der Distributionen tragen oft ältere Nummern.
Die Berichte erzeugt Matomo bei größeren Installationen über einen Cronjob mit dem Kommandozeilen-PHP. Diese Version kann vom Web-PHP abweichen und muss ebenfalls gepatcht sein. Welche PHP-Versionen Ihre Matomo-Version unterstützt, prüfen Sie laut Systemanforderungen auf matomo.org.
# Diagnose wie in der Systemprüfung auf der Kommandozeile ausgeben
./console diagnostics:run
# Änderungsdatum der Tracker-Dateien ansehen
ls -l matomo.js piwik.js
Wo Schadcode in Matomo sitzt
| Ort | Inhalt | Prüfpunkt |
|---|---|---|
matomo.js, piwik.js |
Tracker-Skript für alle Websites | Inhalt und Änderungsdatum, Integritätsprüfung |
config/config.ini.php |
Datenbankzugang, Salt, vertrauenswürdige Hosts | eingeschobene Werte, Zugang nach Verdacht erneuern |
plugins/ |
Plugins aus dem Marketplace und eigene | unbekannte oder veränderte Plugins |
tmp/ |
Cache, erzeugte Assets, kompilierte Templates | nach Bereinigung leeren |
misc/user/ |
eigene Logos und Anpassungen | keine PHP-Dateien |
Einige Plugins schreiben die Tracker-Datei neu, um eigene Funktionen einzubinden. Deshalb ist matomo.js auf vielen Servern für den Webserver beschreibbar, was sie für Angreifer attraktiv macht. Prüfen Sie den Inhalt nach einem Verdacht genau und vergleichen Sie ihn mit dem Originalpaket Ihrer Version.
Finden Sie fremden Code im Tracker-Skript, entfernen Sie den Matomo-Tracking-Code vorübergehend aus den angebundenen Websites oder sperren Sie die Datei. Jede Minute liefert sie den Code sonst an weitere Besucher aus.
Superuser, Tokens und Plugins
Superuser haben in Matomo volle Rechte, auch für Plugins und Systemeinstellungen. Prüfen Sie die Benutzerliste auf unbekannte Superuser und aktivieren Sie die Zwei-Faktor-Anmeldung, die Matomo mitbringt. Auth-Tokens unter den persönlichen Sicherheitseinstellungen erlauben API-Zugriffe ohne Passwort; erneuern Sie sie nach einem Verdacht.
Plugins aus dem Marketplace erweitern Matomo, bringen aber eigenen Code mit. Behalten Sie nur, was gebraucht wird, und schränken Sie den Zugang zur Administration wenn möglich auf bekannte Netze ein. Auf den angebundenen Websites hilft eine Content-Security-Policy, die Skripte nur von bekannten Quellen erlaubt; mehr dazu unter Sicherheits-Header für Websites.
Was ein Matomo-Update kann und was nicht
Ein Matomo-Update ersetzt die Programmdateien und schließt bekannte Fehler. Es patcht nicht PHP, startet weder PHP-FPM noch Archivierungs-Cronjobs neu und entfernt keine fremden Superuser, Tokens oder Plugins. Ob vor dem Patch Code an Besucher ausgeliefert wurde, beantwortet ein Update nicht; dafür braucht es Logs ab dem 20.10.2026.
Wird Matomo nur intern ausgewertet, kann die Administration auf das Firmennetz begrenzt werden, während nur die Tracking-Endpunkte öffentlich bleiben. Dazu gehören das Tracker-Skript und der Endpunkt, an den Besuche gemeldet werden; welche Dateien das in Ihrer Version sind, legen Sie mit Ihrem Betreiber fest. So bleibt die Angriffsfläche der Weboberfläche klein. Gegen PHP2Shell ersetzt das den Patch aber nicht, denn auch der Tracking-Endpunkt läuft über PHP.
Wie hilft PHP SOS konkret?
- Wir prüfen Web- und CLI-PHP Ihres Matomo-Servers und lassen Patch und Neustart bestätigen.
- Wir sichern Logs und vergleichen
matomo.jsund die Programmdateien mit dem Original. - Wir prüfen Konfiguration, Plugins, Superuser und Tokens und erneuern Zugänge mit Ihnen.
- Bei ausgeliefertem Schadcode koordiniert unsere Notfallhilfe die Bereinigung von Matomo und den angebundenen Websites.
Häufige Fragen
Warum ist ein gehackter Matomo-Server so gefährlich?
Jede getrackte Website lädt das Tracker-Skript vom Matomo-Server. Wird diese Datei verändert, läuft fremder Code im Browser aller Besucher aller angebundenen Websites. Ein einzelner Analyse-Server wird so zum Verteiler.
Wo sehe ich in Matomo die PHP-Version?
Unter Administration > Diagnose > Systemprüfung. Dort zeigt Matomo die PHP-Version und prüft weitere Voraussetzungen, auch die Integrität der Dateien. Einen Backport erkennen Sie daran nicht; das bestätigt Ihr Betreiber.
Muss ich nach einem Verdacht die Matomo-Tokens erneuern?
Ja. Auth-Tokens erlauben den Zugriff auf die Matomo-API ohne Passwort. Erneuern Sie sie für alle Benutzer und tragen Sie die neuen Tokens in angebundenen Systemen wie Dashboards oder Berichtswerkzeugen ein.