Em resumo: após o PHP2Shell, a segurança do Matomo é mais do que uma questão de estatísticas. Um servidor Matomo comprometido pode introduzir código em todos os sites ligados através do script de rastreamento. Aplique o patch ao PHP para web e arquivo, reinicie e verifique depois matomo.js, config.ini.php, superutilizadores e tokens de autenticação.
Porque o Matomo conta especialmente após o PHP2Shell
Muitas empresas, organismos públicos e agências usam o Matomo como alternativa respeitadora da privacidade aos serviços de análise externos e operam-no elas próprias, muitas vezes num subdomínio próprio. O Matomo corre em PHP. Segundo a equipa do PHP, as vulnerabilidades CVE-2026-109618 e CVE-2026-109619 permitem executar código malicioso remotamente sem autenticação, independentemente de quão atualizado esteja o Matomo. O que está por trás das vulnerabilidades explica-o O que é o PHP2Shell?.
O que é especial no Matomo é o alcance. Cada site monitorizado carrega o script de rastreamento do servidor Matomo. Se o matomo.js for alterado, corre código alheio no navegador de todos os visitantes desses sites, mesmo onde o próprio site está limpo. Uma agência com um Matomo central para muitos clientes carrega, assim, um risco para todos.
Acrescem os dados: registos de visitas, endereços IP truncados ou completos consoante a definição, páginas visitadas, dados de campanhas e de formulários provenientes de plugins. Indicações gerais sobre deveres de notificação encontra-as na área de conformidade; em cada caso, decide o seu encarregado de proteção de dados.
Segurança do Matomo: verificar a versão do PHP e o arquivo
Em Administração > Diagnóstico > Verificação do sistema, o Matomo mostra a versão do PHP e verifica requisitos, incluindo a integridade dos ficheiros do programa. As versões upstream corrigidas são 8.5.12, 8.4.27, 8.3.36 e 8.2.35; os backports das distribuições têm muitas vezes números mais antigos.
Nas instalações maiores, o Matomo gera os relatórios através de uma tarefa cron com o PHP da linha de comandos. Esta versão pode diferir do PHP web e também tem de ter o patch aplicado. Quais as versões do PHP que a sua versão do Matomo suporta, verifique-o nos requisitos de sistema em matomo.org.
# Mostrar na linha de comandos o diagnóstico da verificação do sistema
./console diagnostics:run
# Ver a data de alteração dos ficheiros do rastreador
ls -l matomo.js piwik.js
Onde se aloja o código malicioso no Matomo
| Local | Conteúdo | Ponto de verificação |
|---|---|---|
matomo.js, piwik.js |
Script de rastreamento para todos os sites | Conteúdo e data de alteração, verificação de integridade |
config/config.ini.php |
Acesso à base de dados, salt, anfitriões de confiança | Valores inseridos, renovar o acesso em caso de suspeita |
plugins/ |
Plugins do Marketplace e próprios | Plugins desconhecidos ou alterados |
tmp/ |
Cache, assets gerados, templates compilados | Esvaziar após a limpeza |
misc/user/ |
Logótipos e adaptações próprios | Sem ficheiros PHP |
Alguns plugins reescrevem o ficheiro do rastreador para integrar funções próprias. Por isso, o matomo.js é gravável pelo servidor web em muitos servidores, o que o torna atraente para os atacantes. Perante uma suspeita, verifique o conteúdo com rigor e compare-o com o pacote original da sua versão.
Se encontrar código alheio no script de rastreamento, remova temporariamente o código de rastreamento do Matomo dos sites ligados ou bloqueie o ficheiro. A cada minuto, ele entrega, de outro modo, o código a mais visitantes.
Superutilizadores, tokens e plugins
Os superutilizadores têm no Matomo direitos totais, também sobre plugins e definições do sistema. Verifique a lista de utilizadores quanto a superutilizadores desconhecidos e ative a autenticação de dois fatores que o Matomo traz. Os tokens de autenticação, nas definições de segurança pessoais, permitem acessos à API sem palavra-passe; renove-os perante uma suspeita.
Os plugins do Marketplace ampliam o Matomo, mas trazem código próprio. Mantenha apenas o que é necessário e, se possível, restrinja o acesso à administração a redes conhecidas. Nos sites ligados ajuda uma Content-Security-Policy que só permita scripts de fontes conhecidas; mais sobre isto em Cabeçalhos de segurança para sites.
O que uma atualização do Matomo consegue e o que não consegue
Uma atualização do Matomo substitui os ficheiros do programa e corrige falhas conhecidas. Não aplica patch ao PHP, não reinicia nem o PHP-FPM nem as tarefas cron de arquivo e não remove superutilizadores, tokens ou plugins alheios. Se, antes do patch, foi entregue código aos visitantes, uma atualização não o responde; para isso são necessários registos a partir de 20/10/2026.
Se o Matomo for avaliado apenas internamente, a administração pode ficar limitada à rede da empresa, enquanto só os pontos de rastreamento permanecem públicos. Fazem parte deles o script de rastreamento e o ponto de acesso para o qual as visitas são comunicadas; que ficheiros são esses na sua versão, definem-no com o seu operador. Assim, a superfície de ataque da interface web mantém-se pequena. Contra o PHP2Shell, isso não substitui o patch, pois também o ponto de rastreamento corre via PHP.
Como ajuda concretamente a PHP SOS?
- Verificamos o PHP web e CLI do seu servidor Matomo e fazemos confirmar o patch e o reinício.
- Guardamos registos e comparamos o
matomo.jse os ficheiros do programa com o original. - Verificamos configuração, plugins, superutilizadores e tokens e renovamos acessos consigo.
- Em caso de código malicioso entregue, a nossa ajuda de emergência coordena a limpeza do Matomo e dos sites ligados.
Perguntas frequentes
Porque é tão perigoso um servidor Matomo pirateado?
Cada site monitorizado carrega o script de rastreamento do servidor Matomo. Se este ficheiro for alterado, corre código alheio no navegador de todos os visitantes de todos os sites ligados. Um único servidor de análise torna-se assim num distribuidor.
Onde vejo a versão do PHP no Matomo?
Em Administração > Diagnóstico > Verificação do sistema. Aí, o Matomo mostra a versão do PHP e verifica outros requisitos, incluindo a integridade dos ficheiros. Por aí não se reconhece um backport; isso é confirmado pelo seu operador.
Tenho de renovar os tokens do Matomo perante uma suspeita?
Sim. Os tokens de autenticação permitem o acesso à API do Matomo sem palavra-passe. Renove-os para todos os utilizadores e introduza os novos tokens nos sistemas ligados, como dashboards ou ferramentas de relatórios.