# Ασφάλεια Matomo μετά το PHP2Shell: θωράκιση αναλυτικών ιστού με self-hosting

> Θωράκιση Matomo μετά το PHP2Shell: έλεγχος PHP στον έλεγχο συστήματος, έλεγχος matomo.js και config.ini.php, έλεγχος tokens και superuser. Δείτε πώς.

Πηγή: https://phpsos.de/el/plattformen/matomo/  
Ημερομηνία: 25/10/2026  
Πάροχος: PHP SOS, Επείγουσα βοήθεια PHP και ασφάλεια διακομιστών. Άμεση βοήθεια μέσω WhatsApp: https://wa.me/491736494914?text=%CE%93%CE%B5%CE%B9%CE%B1%20%CF%83%CE%B1%CF%82%2C%20PHP%20SOS%2C%20%CF%87%CF%81%CE%B5%CE%B9%CE%B1%CE%B6%CF%8C%CE%BC%CE%B1%CF%83%CF%84%CE%B5%20%CE%B2%CE%BF%CE%AE%CE%B8%CE%B5%CE%B9%CE%B1%20%CE%BC%CE%B5%20%CF%84%CE%BF%CE%BD%20%CE%B4%CE%B9%CE%B1%CE%BA%CE%BF%CE%BC%CE%B9%CF%83%CF%84%CE%AE%20PHP%20%CE%BC%CE%B1%CF%82.%20%CE%95%CF%84%CE%B1%CE%B9%CF%81%CE%B5%CE%AF%CE%B1%3A%20%E2%80%A6%20%CE%99%CF%83%CF%84%CF%8C%CF%84%CE%BF%CF%80%CE%BF%CF%82%3A%20%E2%80%A6

**Εν συντομία:** Η ασφάλεια του Matomo μετά το PHP2Shell δεν είναι απλώς θέμα στατιστικών. Ένας παραβιασμένος διακομιστής Matomo μπορεί να εισαγάγει κώδικα, μέσω του σεναρίου tracker, σε κάθε συνδεδεμένο ιστότοπο. Κάντε patch στην PHP για web και αρχειοθέτηση, επανεκκινήστε και έπειτα ελέγξτε τα `matomo.js`, `config.ini.php`, τους superuser και τα auth tokens.

## Γιατί το Matomo μετρά ιδιαίτερα μετά το PHP2Shell

Πολλές επιχειρήσεις, υπηρεσίες και πρακτορεία χρησιμοποιούν το Matomo ως εναλλακτική φιλική προς την προστασία δεδομένων έναντι εξωτερικών υπηρεσιών ανάλυσης και το λειτουργούν οι ίδιες, συχνά σε δικό τους υποτομέα. Το Matomo εκτελείται σε PHP. Οι ευπάθειες CVE-2026-109618 και CVE-2026-109619 επιτρέπουν, σύμφωνα με την ομάδα της PHP, εξ αποστάσεως εκτέλεση κακόβουλου κώδικα χωρίς σύνδεση, ανεξάρτητα από το πόσο ενημερωμένο είναι το Matomo. Τι κρύβεται πίσω από τις ευπάθειες εξηγεί το [Τι είναι το PHP2Shell;](https://phpsos.de/el/php2shell/was-ist-php2shell/).

Το ιδιαίτερο στο Matomo είναι η εμβέλεια. Κάθε ιστότοπος που παρακολουθείται φορτώνει το σενάριο tracker από τον διακομιστή Matomo. Αν αλλάξει το `matomo.js`, εκτελείται ξένος κώδικας στον περιηγητή όλων των επισκεπτών αυτών των ιστοτόπων, ακόμη και εκεί όπου ο ίδιος ο ιστότοπος είναι καθαρός. Ένα πρακτορείο με ένα κεντρικό Matomo για πολλούς πελάτες φέρει έτσι έναν κίνδυνο για όλους.

Προστίθενται τα δεδομένα: πρωτόκολλα επισκέψεων, ανάλογα με τις ρυθμίσεις συντομευμένες ή πλήρεις διευθύνσεις IP, προβολές σελίδων, δεδομένα καμπανιών και φορμών από plugins. Γενικές υποδείξεις για υποχρεώσεις γνωστοποίησης θα βρείτε στην ενότητα Compliance· σε κάθε περίπτωση αποφασίζει ο υπεύθυνος προστασίας δεδομένων σας.

## Ασφάλεια Matomo: έλεγχος της έκδοσης PHP και της αρχειοθέτησης

Στη **Διαχείριση > Διάγνωση > Έλεγχος συστήματος** το Matomo δείχνει την έκδοση PHP και ελέγχει προϋποθέσεις, μεταξύ αυτών και την ακεραιότητα των αρχείων του προγράμματος. Οι διορθωμένες εκδόσεις upstream είναι οι 8.5.12, 8.4.27, 8.3.36 και 8.2.35· τα backports των διανομών φέρουν συχνά παλαιότερους αριθμούς.

Τις αναφορές τις δημιουργεί το Matomo σε μεγαλύτερες εγκαταστάσεις μέσω cronjob με την PHP γραμμής εντολών. Αυτή η έκδοση μπορεί να διαφέρει από την PHP του ιστού και πρέπει επίσης να έχει patch. Ποιες εκδόσεις PHP υποστηρίζει η έκδοση του Matomo σας, ελέγξτε σύμφωνα με τις απαιτήσεις συστήματος στο matomo.org.

```bash
# Εμφάνιση της διάγνωσης όπως στον έλεγχο συστήματος, στη γραμμή εντολών
./console diagnostics:run
# Προβολή της ημερομηνίας αλλαγής των αρχείων tracker
ls -l matomo.js piwik.js
```

## Πού κρύβεται κακόβουλος κώδικας στο Matomo

| Θέση | Περιεχόμενο | Σημείο ελέγχου |
|---|---|---|
| `matomo.js`, `piwik.js` | Σενάριο tracker για όλους τους ιστοτόπους | Περιεχόμενο και ημερομηνία αλλαγής, έλεγχος ακεραιότητας |
| `config/config.ini.php` | Στοιχεία πρόσβασης στη βάση δεδομένων, salt, αξιόπιστοι hosts | Εισαγόμενες τιμές, ανανέωση πρόσβασης μετά από υποψία |
| `plugins/` | Plugins από το Marketplace και δικά σας | Άγνωστα ή αλλαγμένα plugins |
| `tmp/` | Cache, παραγόμενα assets, μεταγλωττισμένα templates | Άδειασμα μετά τον καθαρισμό |
| `misc/user/` | Δικά σας λογότυπα και προσαρμογές | Κανένα αρχείο PHP |

Ορισμένα plugins ξαναγράφουν το αρχείο tracker, για να ενσωματώσουν δικές τους λειτουργίες. Γι' αυτό το `matomo.js` είναι σε πολλούς διακομιστές εγγράψιμο για τον διακομιστή ιστού, κάτι που το κάνει ελκυστικό για τους επιτιθέμενους. Ελέγξτε το περιεχόμενο μετά από υποψία προσεκτικά και συγκρίνετέ το με το αρχικό πακέτο της έκδοσής σας.

> **Δράστε άμεσα:**
> Αν βρείτε ξένο κώδικα στο σενάριο tracker, αφαιρέστε προσωρινά τον κώδικα παρακολούθησης του Matomo από τους συνδεδεμένους ιστοτόπους ή αποκλείστε το αρχείο. Κάθε λεπτό το αρχείο παραδίδει αλλιώς τον κώδικα σε περισσότερους επισκέπτες.

## Superuser, tokens και plugins

Οι superuser έχουν στο Matomo πλήρη δικαιώματα, και για plugins και ρυθμίσεις συστήματος. Ελέγξτε τη λίστα χρηστών για άγνωστους superuser και ενεργοποιήστε τη σύνδεση δύο παραγόντων που διαθέτει το Matomo. Τα auth tokens στις προσωπικές ρυθμίσεις ασφαλείας επιτρέπουν προσβάσεις API χωρίς κωδικό· ανανεώστε τα μετά από υποψία.

Τα plugins από το Marketplace επεκτείνουν το Matomo, φέρνουν όμως δικό τους κώδικα. Κρατήστε μόνο ό,τι χρειάζεται και περιορίστε, αν είναι δυνατό, την πρόσβαση στη διαχείριση σε γνωστά δίκτυα. Στους συνδεδεμένους ιστοτόπους βοηθά μια Content Security Policy, που επιτρέπει σενάρια μόνο από γνωστές πηγές· περισσότερα στο [Κεφαλίδες ασφαλείας για ιστότοπους](https://phpsos.de/el/ratgeber/sicherheits-header/).

## Τι μπορεί μια ενημέρωση του Matomo και τι όχι

Μια ενημέρωση του Matomo αντικαθιστά τα αρχεία του προγράμματος και κλείνει γνωστά σφάλματα. Δεν κάνει patch στην PHP, δεν επανεκκινεί ούτε το PHP-FPM ούτε τα cronjobs αρχειοθέτησης και δεν αφαιρεί ξένους superuser, tokens ή plugins. Το αν πριν από το patch παραδόθηκε κώδικας σε επισκέπτες δεν το απαντά μια ενημέρωση· γι' αυτό χρειάζονται logs από τις 20/10/2026.

Αν το Matomo αξιοποιείται μόνο εσωτερικά, η διαχείριση μπορεί να περιοριστεί στο εταιρικό δίκτυο, ενώ δημόσια παραμένουν μόνο τα endpoints παρακολούθησης. Σε αυτά ανήκουν το σενάριο tracker και το endpoint στο οποίο αναφέρονται οι επισκέψεις· ποια αρχεία είναι αυτά στην έκδοσή σας, το ορίζετε με τον φορέα λειτουργίας σας. Έτσι παραμένει μικρή η επιφάνεια επίθεσης της διεπαφής ιστού. Απέναντι στο PHP2Shell αυτό δεν αντικαθιστά το patch, επειδή και το endpoint παρακολούθησης εκτελείται μέσω PHP.

## Πώς βοηθά συγκεκριμένα η PHP SOS;

- Ελέγχουμε την PHP ιστού και CLI του διακομιστή Matomo σας και ζητάμε επιβεβαίωση του patch και της επανεκκίνησης.
- Διασώζουμε logs και συγκρίνουμε το `matomo.js` και τα αρχεία του προγράμματος με το πρωτότυπο.
- Ελέγχουμε τη διαμόρφωση, τα plugins, τους superuser και τα tokens και ανανεώνουμε τις προσβάσεις μαζί σας.
- Σε περίπτωση κακόβουλου κώδικα που έχει παραδοθεί, η [επείγουσα βοήθειά](https://phpsos.de/el/leistungen/website-gehackt-notfallhilfe/) μας συντονίζει τον καθαρισμό του Matomo και των συνδεδεμένων ιστοτόπων.


## Συχνές ερωτήσεις

**Γιατί είναι τόσο επικίνδυνος ένας παραβιασμένος διακομιστής Matomo;**  
Κάθε ιστότοπος που παρακολουθείται φορτώνει το σενάριο tracker από τον διακομιστή Matomo. Αν αυτό το αρχείο αλλάξει, εκτελείται ξένος κώδικας στον περιηγητή όλων των επισκεπτών όλων των συνδεδεμένων ιστοτόπων. Ένας μεμονωμένος διακομιστής ανάλυσης γίνεται έτσι διανομέας.

**Πού βλέπω στο Matomo την έκδοση PHP;**  
Στη Διαχείριση > Διάγνωση > Έλεγχος συστήματος. Εκεί το Matomo δείχνει την έκδοση PHP και ελέγχει άλλες προϋποθέσεις, και την ακεραιότητα των αρχείων. Ένα backport δεν το καταλαβαίνετε από αυτήν· αυτό το επιβεβαιώνει ο φορέας λειτουργίας σας.

**Πρέπει να ανανεώσω τα tokens του Matomo μετά από υποψία;**  
Ναι. Τα auth tokens επιτρέπουν πρόσβαση στο API του Matomo χωρίς κωδικό. Ανανεώστε τα για όλους τους χρήστες και καταχωρίστε τα νέα tokens στα συνδεδεμένα συστήματα, όπως dashboards ή εργαλεία αναφορών.

## Πηγές

- [php.net: Ανακοινώσεις ασφαλείας](https://www.php.net/)
- [Matomo](https://matomo.org/)
- [OWASP Cheat Sheets](https://cheatsheetseries.owasp.org/)
- [ΓΚΠΔ, άρθρο 33 (στα γερμανικά)](https://dsgvo-gesetz.de/art-33-dsgvo/)