# Сигурност на Matomo след PHP2Shell: как да защитите самостоятелно хостван уеб анализ

> Защитете Matomo след PHP2Shell: вижте PHP в проверката на системата, контролирайте matomo.js и config.ini.php, проверете токените и суперпотребителите.

Източник: https://phpsos.de/bg/plattformen/matomo/  
Актуалност: 25.10.2026  
Доставчик: PHP SOS, Спешна помощ за PHP и сигурност на сървъри. Незабавна помощ по WhatsApp: https://wa.me/491736494914?text=%D0%97%D0%B4%D1%80%D0%B0%D0%B2%D0%B5%D0%B9%D1%82%D0%B5%2C%20PHP%20SOS%2C%20%D0%B8%D0%BC%D0%B0%D0%BC%D0%B5%20%D0%BD%D1%83%D0%B6%D0%B4%D0%B0%20%D0%BE%D1%82%20%D0%BF%D0%BE%D0%BC%D0%BE%D1%89%20%D1%81%20%D0%BD%D0%B0%D1%88%D0%B8%D1%8F%20PHP%20%D1%81%D1%8A%D1%80%D0%B2%D1%8A%D1%80.%20%D0%A4%D0%B8%D1%80%D0%BC%D0%B0%3A%20%E2%80%A6%20%D0%A3%D0%B5%D0%B1%D1%81%D0%B0%D0%B9%D1%82%3A%20%E2%80%A6

**Накратко:** Сигурността на Matomo след PHP2Shell е нещо повече от въпрос на статистика. Компрометиран сървър на Matomo може чрез скрипта на тракера да внедри код във всеки свързан уебсайт. Пачнете PHP за уеб и архивиране, рестартирайте и после проверете `matomo.js`, `config.ini.php`, суперпотребителите и auth токените.

## Защо Matomo има особено значение след PHP2Shell

Много фирми, институции и агенции ползват Matomo като съобразена със защитата на данните алтернатива на външни услуги за анализ и го хостват сами, често на собствен поддомейн. Matomo работи на PHP. Уязвимостите CVE-2026-109618 и CVE-2026-109619 позволяват според екипа на PHP изпълнение на злонамерен код от разстояние без вход в системата, независимо колко актуален е Matomo. Какво стои зад уязвимостите, обяснява [Какво е PHP2Shell?](https://phpsos.de/bg/php2shell/was-ist-php2shell/).

Особеното при Matomo е обхватът. Всеки проследяван уебсайт зарежда скрипта на тракера от сървъра на Matomo. Ако `matomo.js` бъде променен, чужд код се изпълнява в браузъра на всички посетители на тези уебсайтове, и там, където самият уебсайт е чист. Агенция с централен Matomo за много клиенти носи с това риск за всички.

Към това се добавят данните: протоколи на посещенията, според настройката съкратени или пълни IP адреси, показвания на страници, данни за кампании и формуляри от плъгини. Общи сведения за задълженията за уведомяване ще намерите в раздела Compliance; в конкретния случай решава Вашето длъжностно лице по защита на данните.

## Сигурност на Matomo: проверка на версията на PHP и на архивирането

Под **Administration > Diagnostics > System Check** Matomo показва версията на PHP и проверява изисквания, включително целостта на програмните файлове. Поправените версии на оригиналния проект са 8.5.12, 8.4.27, 8.3.36 и 8.2.35; backport-овете на дистрибуциите често носят по-стари номера.

Отчетите Matomo генерира при по-големи инсталации чрез cron задача с PHP за командния ред. Тази версия може да се различава от уеб PHP и също трябва да е пачната. Кои версии на PHP поддържа Вашата версия на Matomo, проверете според системните изисквания на matomo.org.

```bash
# Извеждане на диагностиката като в проверката на системата в командния ред
./console diagnostics:run
# Преглед на датата на промяна на файловете на тракера
ls -l matomo.js piwik.js
```

## Къде седи злонамереният код в Matomo

| Място | Съдържание | Какво да проверите |
|---|---|---|
| `matomo.js`, `piwik.js` | скрипт на тракера за всички уебсайтове | съдържание и дата на промяна, проверка на целостта |
| `config/config.ini.php` | достъп до базата данни, salt, доверени хостове | вмъкнати стойности, при подозрение подновете достъпа |
| `plugins/` | плъгини от Marketplace и собствени | непознати или променени плъгини |
| `tmp/` | кеш, генерирани ресурси, компилирани шаблони | изпразнете след почистване |
| `misc/user/` | собствени лога и адаптации | без PHP файлове |

Някои плъгини пренаписват файла на тракера, за да вградят собствени функции. Затова `matomo.js` е на много сървъри достъпен за запис от уеб сървъра, което я прави привлекателна за нападателите. При подозрение проверете съдържанието внимателно и го сравнете с оригиналния пакет на Вашата версия.

> **Действайте веднага:**
> Ако намерите чужд код в скрипта на тракера, премахнете временно кода за проследяване на Matomo от свързаните уебсайтове или блокирайте файла. Всяка минута той иначе го доставя на още посетители.

## Суперпотребители, токени и плъгини

Суперпотребителите имат в Matomo пълни права, и за плъгини и системни настройки. Проверете списъка с потребители за непознати суперпотребители и активирайте двуфакторното удостоверяване, което Matomo носи със себе си. Auth токените под личните настройки за сигурност позволяват достъп до API без парола; подновете ги при подозрение.

Плъгините от Marketplace разширяват Matomo, но носят собствен код. Запазете само нужното и ако е възможно, ограничете достъпа до администрацията до познати мрежи. На свързаните уебсайтове помага Content Security Policy, която разрешава скриптове само от познати източници; повече за това на страницата [Хедъри за сигурност за уебсайтове](https://phpsos.de/bg/ratgeber/sicherheits-header/).

## Какво може актуализацията на Matomo и какво не

Актуализация на Matomo заменя програмните файлове и затваря известни грешки. Тя не пачва PHP, не рестартира нито PHP-FPM, нито cron задачите за архивиране и не премахва чужди суперпотребители, токени или плъгини. Дали преди пача на посетители е доставян код, актуализацията не отговаря; за това са нужни логове от 20.10.2026 г. нататък.

Ако Matomo се оценява само вътрешно, администрацията може да се ограничи до фирмената мрежа, докато публични остават само крайните точки за проследяване. Към тях спадат скриптът на тракера и крайната точка, към която се съобщават посещенията; кои файлове са това във Вашата версия, определете с Вашия оператор. Така повърхността за атака на уеб интерфейса остава малка. Срещу PHP2Shell това обаче не заменя пача, защото и крайната точка за проследяване работи през PHP.

## Как помага PHP SOS конкретно?

- Проверяваме уеб и CLI PHP на Вашия сървър на Matomo и получаваме потвърждение за пача и рестартирането.
- Запазваме логове и сравняваме `matomo.js` и програмните файлове с оригинала.
- Проверяваме конфигурацията, плъгините, суперпотребителите и токените и подновяваме достъпите с Вас.
- При доставен злонамерен код нашата [спешна помощ](https://phpsos.de/bg/leistungen/website-gehackt-notfallhilfe/) координира почистването на Matomo и на свързаните уебсайтове.


## Често задавани въпроси

**Защо хакнат сървър на Matomo е толкова опасен?**  
Всеки проследяван уебсайт зарежда скрипта на тракера от сървъра на Matomo. Ако този файл бъде променен, чужд код се изпълнява в браузъра на всички посетители на всички свързани уебсайтове. Един-единствен сървър за анализ така се превръща в разпространител.

**Къде виждам версията на PHP в Matomo?**  
Под Administration > Diagnostics > System Check. Там Matomo показва версията на PHP и проверява други изисквания, и целостта на файловете. Backport не се познава по това; потвърждава го Вашият оператор.

**Трябва ли при подозрение да подновя токените на Matomo?**  
Да. Auth токените позволяват достъп до API на Matomo без парола. Подновете ги за всички потребители и въведете новите токени в свързаните системи като табла или инструменти за отчети.

## Източници

- [php.net: Съобщения за сигурност](https://www.php.net/)
- [Matomo](https://matomo.org/)
- [OWASP Cheat Sheets](https://cheatsheetseries.owasp.org/)
- [ОРЗД, чл. 33](https://dsgvo-gesetz.de/art-33-dsgvo/)