Na kratko: Varnost Matomo po PHP2Shell ni samo vprašanje statistike. Ogrožen strežnik Matomo lahko prek skripta za sledenje vnese kodo v vsako povezano spletno stran. Popravite PHP za splet in arhiviranje, znova zaženite ter nato preglejte matomo.js, config.ini.php, Superuser in žetone avtentikacije.
Zakaj Matomo po PHP2Shell še posebej šteje
Številna podjetja, organi in agencije uporabljajo Matomo kot zasebnosti prijazno alternativo zunanjim analitičnim storitvam in ga upravljajo sami, pogosto na lastni poddomeni. Matomo teče na PHP. Ranljivosti CVE-2026-109618 in CVE-2026-109619 po navedbah ekipe PHP omogočata izvajanje škodljive kode na daljavo brez prijave, ne glede na to, kako aktualen je Matomo. Kaj je za ranljivostma, pojasnjuje prispevek Kaj je PHP2Shell?.
Posebnost Matomo je doseg. Vsaka spremljana spletna stran skript za sledenje naloži s strežnika Matomo. Če se matomo.js spremeni, v brskalniku vseh obiskovalcev teh spletnih strani teče tuja koda, tudi tam, kjer je spletna stran sama čista. Agencija z osrednjim Matomo za številne stranke tako nosi tveganje za vse.
K temu pridejo podatki: protokoli obiskov, glede na nastavitve skrajšani ali polni naslovi IP, ogledi strani, podatki o kampanjah in obrazcih iz vtičnikov. Splošne napotke o obveznostih prijave najdete v razdelku Compliance; v posameznem primeru odloča vaš pooblaščenec za varstvo podatkov.
Varnost Matomo: preverite različico PHP in arhiviranje
Pod Administracija > Diagnostika > Sistemsko preverjanje Matomo prikaže različico PHP in preveri pogoje, med njimi celovitost programskih datotek. Odpravljene različice izvorne kode so 8.5.12, 8.4.27, 8.3.36 in 8.2.35; backporti distribucij pogosto nosijo starejše številke.
Pri večjih namestitvah Matomo poročila ustvarja prek cron opravila s PHP v ukazni vrstici. Ta različica se lahko razlikuje od PHP za splet in mora biti prav tako popravljena. Katere različice PHP podpira vaša različica Matomo, preverite v sistemskih zahtevah na matomo.org.
# Izpiši diagnostiko kot v sistemskem preverjanju v ukazni vrstici
./console diagnostics:run
# Poglej datum spremembe datotek za sledenje
ls -l matomo.js piwik.js
Kje je škodljiva koda v Matomo
| Mesto | Vsebina | Točka preverjanja |
|---|---|---|
matomo.js, piwik.js |
Skript za sledenje za vse spletne strani | Vsebina in datum spremembe, preverjanje celovitosti |
config/config.ini.php |
Dostop do podatkovne zbirke, salt, zaupanja vredni gostitelji | Vstavljene vrednosti, ob sumu obnoviti dostop |
plugins/ |
Vtičniki z Marketplace in lastni | Neznani ali spremenjeni vtičniki |
tmp/ |
Predpomnilnik, ustvarjena sredstva, prevedene predloge | Po čiščenju izprazniti |
misc/user/ |
Lastni logotipi in prilagoditve | Brez datotek PHP |
Nekateri vtičniki datoteko za sledenje prepišejo, da vgradijo lastne funkcije. Zato je matomo.js na številnih strežnikih za spletni strežnik zapisljiva, kar jo dela privlačno za napadalce. Ob sumu natančno preverite vsebino in jo primerjajte z izvirnim paketom svoje različice.
Če v skriptu za sledenje najdete tujo kodo, kodo za sledenje Matomo začasno odstranite iz povezanih spletnih strani ali datoteko blokirajte. Vsako minuto jo sicer dostavlja novim obiskovalcem.
Superuser, žetoni in vtičniki
Superuser imajo v Matomo polne pravice, tudi za vtičnike in sistemske nastavitve. Seznam uporabnikov preverite glede neznanih Superuser in vklopite dvofaktorsko prijavo, ki jo Matomo prinaša. Žetoni avtentikacije v osebnih varnostnih nastavitvah omogočajo dostope API brez gesla; ob sumu jih obnovite.
Vtičniki z Marketplace Matomo razširjajo, a prinašajo lastno kodo. Obdržite samo, kar je potrebno, in dostop do administracije po možnosti omejite na znana omrežja. Na povezanih spletnih straneh pomaga Content Security Policy, ki skripte dovoli samo iz znanih virov; več o tem v prispevku Varnostne glave za spletne strani.
Kaj posodobitev Matomo zmore in česa ne
Posodobitev Matomo zamenja programske datoteke in zapre znane napake. PHP ne popravi, ne zažene znova ne PHP-FPM ne cron opravil za arhiviranje ter ne odstrani tujih Superuser, žetonov ali vtičnikov. Ali je bila pred popravkom obiskovalcem dostavljena koda, posodobitev ne razjasni; za to so potrebni dnevniki od 20. 10. 2026.
Če se Matomo ocenjuje samo interno, je mogoče administracijo omejiti na omrežje podjetja, javne pa ostanejo samo končne točke za sledenje. Sem spadata skript za sledenje in končna točka, kamor se javljajo obiski; katere datoteke so to v vaši različici, določite z upravljavcem. Tako ostane napadalna površina spletnega vmesnika majhna. Proti PHP2Shell to popravka ne nadomešča, saj tudi končna točka za sledenje teče prek PHP.
Kako PHP SOS pomaga konkretno?
- Preverimo PHP za splet in CLI na vašem strežniku Matomo ter dosežemo potrditev popravka in ponovnega zagona.
- Dnevnike zavarujemo in
matomo.jster programske datoteke primerjamo z izvirnikom. - Preverimo konfiguracijo, vtičnike, Superuser in žetone ter z vami obnovimo dostope.
- Ob dostavljeni škodljivi kodi naša nujna pomoč koordinira čiščenje Matomo in povezanih spletnih strani.
Pogosta vprašanja
Zakaj je vdrt strežnik Matomo tako nevaren?
Vsaka spremljana spletna stran skript za sledenje naloži s strežnika Matomo. Če se ta datoteka spremeni, v brskalnikih vseh obiskovalcev vseh povezanih spletnih strani teče tuja koda. En sam analitični strežnik tako postane razdeljevalec.
Kje v Matomo vidim različico PHP?
Pod Administracija > Diagnostika > Sistemsko preverjanje. Tam Matomo prikaže različico PHP in preveri druge pogoje, tudi celovitost datotek. Backporta iz tega ne prepoznate; to potrdi vaš upravljavec.
Ali moram ob sumu obnoviti žetone Matomo?
Da. Žetoni za avtentikacijo omogočajo dostop do API Matomo brez gesla. Obnovite jih za vse uporabnike in nove žetone vpišite v povezanih sistemih, kot so nadzorne plošče ali orodja za poročanje.