Lyhyesti: Matomon tietoturva on PHP2Shellin jälkeen enemmän kuin tilastokysymys. Vaarantunut Matomo-palvelin voi ujuttaa seurantaskriptin kautta koodia jokaiselle liitetylle verkkosivustolle. Korjatkaa PHP webille ja arkistoinnille, käynnistäkää uudelleen ja tarkistakaa sen jälkeen matomo.js, config.ini.php, Superuserit ja Auth-tokenit.
Miksi Matomo on PHP2Shellin jälkeen erityisen tärkeä
Monet yritykset, viranomaiset ja toimistot käyttävät Matomoa tietosuojaystävällisenä vaihtoehtona ulkoisille analytiikkapalveluille ja ylläpitävät sitä itse, usein omalla aliverkkotunnuksellaan. Matomo toimii PHP:llä. PHP-tiimin mukaan haavoittuvuudet CVE-2026-109618 ja CVE-2026-109619 sallivat haittakoodin suorittamisen etänä ilman kirjautumista, riippumatta siitä, kuinka ajan tasalla Matomo on. Mitä aukkojen takana on, selittää sivu Mikä PHP2Shell on?.
Matomon erityispiirre on ulottuvuus. Jokainen seurattava verkkosivusto lataa seurantaskriptin Matomo-palvelimelta. Jos matomo.js muutetaan, vieras koodi suoritetaan näiden sivustojen kaikkien kävijöiden selaimessa, myös siellä, missä itse sivusto on puhdas. Toimisto, jolla on yksi keskitetty Matomo monelle asiakkaalle, kantaa siten riskin kaikkien puolesta.
Lisäksi ovat tiedot: kävijälokit, asetuksista riippuen lyhennetyt tai täydelliset IP-osoitteet, sivulataukset, kampanja- ja lomaketiedot liitännäisistä. Yleisiä ohjeita ilmoitusvelvollisuuksista löytyy Compliance-osiosta; yksittäistapauksessa ratkaisee tietosuojavastaavanne.
Matomon tietoturva: PHP-version ja arkistoinnin tarkistus
Kohdassa Hallinta > Diagnostiikka > Järjestelmätarkistus Matomo näyttää PHP-version ja tarkistaa edellytykset, mukaan lukien ohjelmatiedostojen eheyden. Korjatut upstream-versiot ovat 8.5.12, 8.4.27, 8.3.36 ja 8.2.35; jakelujen backportit kantavat usein vanhempia numeroita.
Suuremmissa asennuksissa Matomo luo raportit cron-ajolla komentorivi-PHP:llä. Tämä versio voi poiketa web-PHP:stä, ja sen on oltava yhtä lailla korjattu. Mitä PHP-versioita teidän Matomo-versionne tukee, tarkistatte järjestelmävaatimuksista osoitteessa matomo.org.
# Tulostetaan diagnostiikka komentorivillä kuten järjestelmätarkistuksessa
./console diagnostics:run
# Katsotaan seurantatiedostojen muutospäivä
ls -l matomo.js piwik.js
Missä haittakoodi Matomossa on
| Paikka | Sisältö | Tarkistuskohde |
|---|---|---|
matomo.js, piwik.js |
Seurantaskripti kaikille verkkosivustoille | Sisältö ja muutospäivä, eheystarkistus |
config/config.ini.php |
Tietokantatunnukset, suola, luotetut isännät | sisään ujutetut arvot, pääsy uusittava epäilyn jälkeen |
plugins/ |
Marketplacen ja omat liitännäiset | tuntemattomat tai muutetut liitännäiset |
tmp/ |
Välimuisti, generoidut assetit, käännetyt mallipohjat | tyhjennettävä puhdistuksen jälkeen |
misc/user/ |
omat logot ja mukautukset | ei PHP-tiedostoja |
Jotkin liitännäiset kirjoittavat seurantatiedoston uudelleen liittääkseen omia toimintojaan. Siksi matomo.js on monella palvelimella verkkopalvelimen kirjoitettavissa, mikä tekee siitä houkuttelevan hyökkääjille. Tarkistakaa sisältö epäilyn jälkeen tarkasti ja verratkaa sitä versionne alkuperäispakettiin.
Jos löydätte vierasta koodia seurantaskriptistä, poistakaa Matomon seurantakoodi tilapäisesti liitetyiltä verkkosivustoilta tai estäkää tiedosto. Muuten se toimittaa koodin joka minuutti uusille kävijöille.
Superuserit, tokenit ja liitännäiset
Superusereilla on Matomossa täydet oikeudet, myös liitännäisiin ja järjestelmäasetuksiin. Tarkistakaa käyttäjälista tuntemattomien Superuserien varalta ja ottakaa käyttöön Matomon mukana tuleva kaksivaiheinen tunnistautuminen. Henkilökohtaisten tietoturva-asetusten Auth-tokenit sallivat API-pääsyn ilman salasanaa; uusikaa ne epäilyn jälkeen.
Marketplacen liitännäiset laajentavat Matomoa mutta tuovat omaa koodia. Säilyttäkää vain tarvittavat ja rajatkaa hallinnan pääsy mahdollisuuksien mukaan tunnettuihin verkkoihin. Liitetyillä verkkosivustoilla auttaa Content-Security-Policy, joka sallii skriptit vain tunnetuista lähteistä; lisää aiheesta sivulla Verkkosivustojen tietoturvaotsikot.
Mihin Matomo-päivitys pystyy ja mihin ei
Matomo-päivitys korvaa ohjelmatiedostot ja sulkee tunnetut virheet. Se ei korjaa PHP:tä, ei käynnistä PHP-FPM:ää eikä arkistoinnin cron-ajoja uudelleen eikä poista vieraita Superusereita, tokeneita tai liitännäisiä. Onko koodia toimitettu kävijöille ennen korjausta, päivitys ei kerro; siihen tarvitaan lokit 20.10.2026 alkaen.
Jos Matomon tuloksia käytetään vain sisäisesti, hallinta voidaan rajata yrityksen verkkoon, kun vain seurantapäätepisteet pysyvät julkisina. Niihin kuuluvat seurantaskripti ja päätepiste, johon käynnit ilmoitetaan; mitkä tiedostot ne ovat teidän versiossanne, sovitte ylläpitäjänne kanssa. Näin verkkokäyttöliittymän hyökkäyspinta pysyy pienenä. PHP2Shellia vastaan se ei kuitenkaan korvaa korjausta, sillä seurantapäätepistekin toimii PHP:llä.
Miten PHP SOS auttaa konkreettisesti?
- Tarkistamme Matomo-palvelimenne web- ja CLI-PHP:n ja varmennamme korjauksen ja uudelleenkäynnistyksen.
- Varmuuskopioimme lokit ja vertaamme
matomo.js:n ja ohjelmatiedostot alkuperäisiin. - Tarkistamme asetukset, liitännäiset, Superuserit ja tokenit ja uusimme tunnukset kanssanne.
- Jos haittakoodia on toimitettu, hätäapumme koordinoi Matomon ja liitettyjen verkkosivustojen puhdistuksen.
Usein kysytyt kysymykset
Miksi murrettu Matomo-palvelin on niin vaarallinen?
Jokainen seurattava verkkosivusto lataa seurantaskriptin Matomo-palvelimelta. Jos tätä tiedostoa muutetaan, vieras koodi suoritetaan kaikkien liitettyjen sivustojen kaikkien kävijöiden selaimessa. Yksittäisestä analytiikkapalvelimesta tulee jakelija.
Mistä näen Matomossa PHP-version?
Kohdassa Hallinta > Diagnostiikka > Järjestelmätarkistus. Siellä Matomo näyttää PHP-version ja tarkistaa muita edellytyksiä, myös tiedostojen eheyden. Backportia ei tunnista siitä; sen vahvistaa palvelimen ylläpitäjä.
Pitääkö Matomon tokenit uusia epäilyn jälkeen?
Kyllä. Auth-tokenit sallivat Matomon API:n käytön ilman salasanaa. Uusikaa ne kaikille käyttäjille ja merkitkää uudet tokenit liitettyihin järjestelmiin, kuten kojelautoihin tai raportointityökaluihin.