Lühidalt: Matomo turvalisus on pärast PHP2Shelli rohkem kui statistikaküsimus. Kompromiteeritud Matomo server võib jälgimisskripti kaudu koodi sisse viia igasse ühendatud veebisaiti. Paigake PHP veebi ja arhiveerimise jaoks, taaskäivitage ning kontrollige seejärel matomo.js, config.ini.php, Superuser'eid ja auth-token'eid.
Miks Matomo loeb pärast PHP2Shelli eriti
Paljud ettevõtted, asutused ja agentuurid kasutavad Matomot andmekaitsesõbraliku alternatiivina välistele analüütikateenustele ja majutavad seda ise, sageli oma alamdomeenil. Matomo töötab PHP peal. Turvaaugud CVE-2026-109618 ja CVE-2026-109619 võimaldavad PHP meeskonna andmetel kahjuliku koodi kaugkäivitamist ilma sisselogimiseta, sõltumata sellest, kui ajakohane Matomo on. Mis turvaaukude taga on, selgitab leht Mis on PHP2Shell?.
Matomo eripära on ulatus. Iga jälgitav veebisait laadib jälgimisskripti Matomo serverist. Kui matomo.js muudetakse, töötab võõras kood nende veebisaitide kõigi külastajate brauseris, ka seal, kus veebisait ise on puhas. Agentuur, kellel on keskne Matomo paljude klientide jaoks, kannab seega riski kõigi eest.
Lisaks tulevad andmed: külastuslogid, olenevalt sätetest lühendatud või täielikud IP-aadressid, lehevaatamised, kampaania- ja vormiandmed pluginatest. Üldist teavet teavitamiskohustuste kohta leiate vastavuse (Compliance) jaotisest; üksikjuhtumi puhul otsustab teie andmekaitsespetsialist.
Matomo turvalisus: PHP versiooni ja arhiveerimise kontrollimine
Menüüs Administreerimine > Diagnostika > Süsteemikontroll näitab Matomo PHP versiooni ja kontrollib eeldusi, sealhulgas programmifailide terviklust. Upstream'i parandatud versioonid on 8.5.12, 8.4.27, 8.3.36 ja 8.2.35; distributsioonide tagasiportimised (backport) kannavad sageli vanemaid numbreid.
Aruanded genereerib Matomo suuremate paigalduste puhul cron-töö kaudu käsurea PHP-ga. See versioon võib veebi-PHP-st erineda ja peab samuti olema paigatud. Milliseid PHP versioone teie Matomo versioon toetab, kontrollige süsteeminõuete järgi lehel matomo.org.
# Diagnostika väljastamine nagu süsteemikontrollis, käsurealt
./console diagnostics:run
# Jälgimisfailide muutmiskuupäeva vaatamine
ls -l matomo.js piwik.js
Kus kahjulik kood Matomos asub
| Koht | Sisu | Kontrollpunkt |
|---|---|---|
matomo.js, piwik.js |
Jälgimisskript kõigile veebisaitidele | Sisu ja muutmiskuupäev, terviklusekontroll |
config/config.ini.php |
Andmebaasi ligipääs, salt, usaldusväärsed hostid | Sissetoodud väärtused, ligipääs kahtluse korral uuendada |
plugins/ |
Marketplace'i ja oma pluginad | Tundmatud või muudetud pluginad |
tmp/ |
Vahemälu, genereeritud assetid, kompileeritud mallid | Pärast puhastamist tühjendada |
misc/user/ |
Oma logod ja kohandused | PHP faile pole |
Mõned pluginad kirjutavad jälgimisfaili ümber, et oma funktsioone lõimida. Seetõttu on matomo.js paljudes serverites veebiserverile kirjutatav, mis teeb selle ründajatele atraktiivseks. Kontrollige sisu kahtluse korral täpselt ja võrrelge seda oma versiooni originaalpaketiga.
Kui leiate jälgimisskriptist võõrast koodi, eemaldage Matomo jälgimiskood ühendatud veebisaitidelt ajutiselt või blokeerige fail. Iga minut serveerib see muidu koodi uutele külastajatele.
Superuser'id, token'id ja pluginad
Superuser'idel on Matomos täisõigused, ka pluginate ja süsteemisätete osas. Kontrollige kasutajate loendit tundmatute Superuser'ide suhtes ja aktiveerige Matomo kaasatoodud kaheastmeline autentimine. Auth-token'id isiklikes turvasätetes võimaldavad API ligipääsu ilma paroolita; uuendage need kahtluse korral.
Marketplace'i pluginad laiendavad Matomot, kuid toovad kaasa oma koodi. Hoidke alles ainult see, mida vajatakse, ja piirake ligipääs administreerimisele võimaluse korral teadaolevatele võrkudele. Ühendatud veebisaitidel aitab Content-Security-Policy, mis lubab skripte ainult teadaolevatest allikatest; lähemalt lehel Veebisaitide turvapäised.
Mida Matomo uuendus suudab ja mida mitte
Matomo uuendus asendab programmifailid ja sulgeb teadaolevad vead. See ei paiga PHP-d, ei taaskäivita PHP-FPM-i ega arhiveerimise cron-töid ning ei eemalda võõraid Superuser'eid, token'eid ega pluginaid. Kas enne paika külastajatele koodi serveeriti, uuendus ei vasta; selleks on vaja logisid alates 20.10.2026.
Kui Matomot analüüsitakse ainult sisemiselt, saab administreerimise piirata ettevõtte võrguga, samal ajal kui avalikuks jäävad ainult jälgimise lõpp-punktid. Nende hulka kuuluvad jälgimisskript ja lõpp-punkt, kuhu külastusi teatatakse; millised failid need teie versioonis on, määrake kindlaks oma haldajaga. Nii jääb veebiliidese ründepind väikeseks. PHP2Shelli vastu see paika siiski ei asenda, sest ka jälgimise lõpp-punkt töötab PHP kaudu.
Kuidas PHP SOS konkreetselt aitab?
- Kontrollime teie Matomo serveri veebi- ja CLI-PHP-d ning laseme paigatud ja taaskäivituse kinnitada.
- Varundame logid ning võrdleme
matomo.jsja programmifaile originaaliga. - Kontrollime konfiguratsiooni, pluginaid, Superuser'eid ja token'eid ning uuendame ligipääsud koos teiega.
- Serveeritud kahjuliku koodi korral koordineerib meie hädaabi Matomo ja ühendatud veebisaitide puhastamist.
Korduma kippuvad küsimused
Miks on häkitud Matomo server nii ohtlik?
Iga jälgitav veebisait laadib jälgimisskripti Matomo serverist. Kui seda faili muudetakse, töötab võõras kood kõigi ühendatud veebisaitide kõigi külastajate brauseris. Üksik analüütikaserver muutub nii jaotuskeskuseks.
Kust ma Matomos PHP versiooni näen?
Menüüs Administreerimine > Diagnostika > Süsteemikontroll. Seal näitab Matomo PHP versiooni ja kontrollib muid eeldusi, ka failide terviklust. Tagasiportimist (backport) numbrist ei tunne; seda kinnitab teie haldaja.
Kas pean kahtluse korral Matomo token'id uuendama?
Jah. Auth-token'id võimaldavad Matomo API-le ligipääsu ilma paroolita. Uuendage need kõigile kasutajatele ja sisestage uued token'id ühendatud süsteemidesse, nagu armatuurlauad või aruandlustööriistad.