# Securitate Matomo după PHP2Shell: securizarea analizei web găzduite propriu

> Securizați Matomo după PHP2Shell: vedeți PHP în verificarea de sistem, controlați matomo.js și config.ini.php, verificați token-urile și superuserii.

Sursa: https://phpsos.de/ro/plattformen/matomo/  
Stadiu: 25.10.2026  
Furnizor: PHP SOS, Asistență de urgență PHP și securitatea serverelor. Ajutor imediat pe WhatsApp: https://wa.me/491736494914?text=Bun%C4%83%20ziua%2C%20PHP%20SOS%2C%20avem%20nevoie%20de%20ajutor%20cu%20serverul%20nostru%20PHP.%20Firma%3A%20%E2%80%A6%20Site%3A%20%E2%80%A6

**Pe scurt:** După PHP2Shell, securitatea Matomo este mai mult decât o chestiune de statistică. Un server Matomo compromis poate strecura, prin scriptul de tracking, cod în fiecare site conectat. Aplicați patchul PHP pentru web și arhivare, reporniți și verificați apoi `matomo.js`, `config.ini.php`, superuserii și token-urile de autentificare.

## De ce Matomo contează în mod deosebit după PHP2Shell

Multe companii, autorități și agenții folosesc Matomo ca alternativă prietenoasă cu protecția datelor la serviciile externe de analiză și îl operează singure, adesea pe un subdomeniu propriu. Matomo rulează pe PHP. Potrivit echipei PHP, vulnerabilitățile CVE-2026-109618 și CVE-2026-109619 permit execuția de cod malițios la distanță, fără autentificare, indiferent cât de actualizat este Matomo. Ce se află în spatele vulnerabilităților explică [Ce este PHP2Shell?](https://phpsos.de/ro/php2shell/was-ist-php2shell/).

Particularitatea Matomo este amploarea. Fiecare site urmărit încarcă scriptul de tracking de la serverul Matomo. Dacă `matomo.js` este modificat, cod străin rulează în browserul tuturor vizitatorilor acestor site-uri, chiar și acolo unde site-ul însuși este curat. O agenție cu un Matomo central pentru mulți clienți poartă astfel un risc pentru toți.

La acestea se adaugă datele: jurnale de vizite, adrese IP trunchiate sau complete, în funcție de setare, accesări de pagini, date de campanii și de formulare din plugin-uri. Indicații generale privind obligațiile de notificare găsiți în zona Conformitate; în cazul concret decide responsabilul dumneavoastră cu protecția datelor.

## Securitatea Matomo: verificarea versiunii PHP și a arhivării

La **Administrare > Diagnostic > Verificarea sistemului**, Matomo arată versiunea PHP și verifică condițiile, printre care integritatea fișierelor programului. Versiunile upstream remediate sunt 8.5.12, 8.4.27, 8.3.36 și 8.2.35; backporturile distribuțiilor poartă adesea numere mai vechi.

La instalările mai mari, Matomo generează rapoartele printr-un cronjob cu PHP-ul din linia de comandă. Această versiune poate diferi de PHP-ul web și trebuie să aibă și ea patchul aplicat. Ce versiuni PHP sunt acceptate de versiunea dumneavoastră de Matomo verificați conform cerințelor de sistem de pe matomo.org.

```bash
# Afișarea diagnosticului în linia de comandă, ca în verificarea sistemului
./console diagnostics:run
# Vizualizarea datei modificării fișierelor de tracking
ls -l matomo.js piwik.js
```

## Unde se află codul malițios în Matomo

| Loc | Conținut | Punct de verificare |
|---|---|---|
| `matomo.js`, `piwik.js` | Scriptul de tracking pentru toate site-urile | Conținut și data modificării, verificarea integrității |
| `config/config.ini.php` | Accesul la baza de date, salt, gazde de încredere | Valori strecurate, reînnoiți accesul în caz de suspiciune |
| `plugins/` | Plugin-uri din Marketplace și proprii | Plugin-uri necunoscute sau modificate |
| `tmp/` | Cache, asset-uri generate, șabloane compilate | Goliți după curățare |
| `misc/user/` | Logo-uri proprii și adaptări | Fără fișiere PHP |

Unele plugin-uri rescriu fișierul de tracking pentru a integra funcții proprii. De aceea, `matomo.js` este inscriptibil pentru serverul web pe multe servere, ceea ce îl face atractiv pentru atacatori. Verificați atent conținutul în caz de suspiciune și comparați-l cu pachetul original al versiunii dumneavoastră.

> **Acționați imediat:**
> Dacă găsiți cod străin în scriptul de tracking, eliminați temporar codul de tracking Matomo din site-urile conectate sau blocați fișierul. În caz contrar, în fiecare minut îl livrează altor vizitatori.

## Superuseri, token-uri și plugin-uri

Superuserii au în Matomo drepturi depline, inclusiv asupra plugin-urilor și setărilor de sistem. Verificați lista de utilizatori pentru superuseri necunoscuți și activați autentificarea în doi pași pe care o aduce Matomo. Token-urile de autentificare din setările personale de securitate permit accesul la API fără parolă; reînnoiți-le în caz de suspiciune.

Plugin-urile din Marketplace extind Matomo, dar aduc cod propriu. Păstrați doar ce este necesar și restricționați, dacă este posibil, accesul la administrare la rețele cunoscute. Pe site-urile conectate ajută un Content-Security-Policy, care permite scripturi doar din surse cunoscute; mai multe la [Antete de securitate pentru site-uri](https://phpsos.de/ro/ratgeber/sicherheits-header/).

## Ce poate și ce nu poate o actualizare Matomo

O actualizare Matomo înlocuiește fișierele programului și închide erorile cunoscute. Ea nu aplică patchul PHP, nu repornește nici PHP-FPM, nici cronjob-urile de arhivare și nu elimină superuseri, token-uri sau plugin-uri străine. Dacă înainte de patch s-a livrat cod vizitatorilor nu răspunde o actualizare; pentru aceasta sunt necesare jurnale începând cu 20.10.2026.

Dacă Matomo este analizat doar intern, administrarea poate fi limitată la rețeaua companiei, în timp ce doar punctele finale de tracking rămân publice. Acestea cuprind scriptul de tracking și punctul final la care sunt raportate vizitele; ce fișiere sunt acestea în versiunea dumneavoastră stabiliți împreună cu operatorul. Astfel, suprafața de atac a interfeței web rămâne mică. Împotriva PHP2Shell, aceasta nu înlocuiește însă patchul, deoarece și punctul final de tracking rulează prin PHP.

## Cum ajută PHP SOS concret?

- Verificăm PHP-ul web și CLI al serverului dumneavoastră Matomo și punem să fie confirmate patchul și repornirea.
- Salvăm jurnalele și comparăm `matomo.js` și fișierele programului cu originalul.
- Verificăm configurația, plugin-urile, superuserii și token-urile și reînnoim accesurile împreună cu dumneavoastră.
- Dacă s-a livrat cod malițios, [asistența noastră de urgență](https://phpsos.de/ro/leistungen/website-gehackt-notfallhilfe/) coordonează curățarea Matomo și a site-urilor conectate.


## Întrebări frecvente

**De ce este atât de periculos un server Matomo compromis?**  
Fiecare site urmărit încarcă scriptul de tracking de la serverul Matomo. Dacă acest fișier este modificat, cod străin rulează în browserul tuturor vizitatorilor tuturor site-urilor conectate. Un singur server de analiză devine astfel un distribuitor.

**Unde văd versiunea PHP în Matomo?**  
La Administrare > Diagnostic > Verificarea sistemului. Acolo Matomo arată versiunea PHP și verifică alte condiții, inclusiv integritatea fișierelor. Un backport nu îl recunoașteți după aceasta; acest lucru îl confirmă operatorul dumneavoastră.

**Trebuie să reînnoiesc token-urile Matomo în caz de suspiciune?**  
Da. Token-urile de autentificare permit accesul la API-ul Matomo fără parolă. Reînnoiți-le pentru toți utilizatorii și introduceți noile token-uri în sistemele conectate, precum dashboard-uri sau instrumente de raportare.

## Surse

- [php.net: anunțuri de securitate](https://www.php.net/)
- [Matomo](https://matomo.org/)
- [OWASP Cheat Sheets](https://cheatsheetseries.owasp.org/)
- [RGPD art. 33](https://dsgvo-gesetz.de/art-33-dsgvo/)