# Matomo sigurnost nakon PHP2Shella: zaštita samostalno hostirane web-analitike

> Zaštitite Matomo nakon PHP2Shella: pogledajte PHP u provjeri sustava, kontrolirajte matomo.js i config.ini.php te provjerite tokene i superusere.

Izvor: https://phpsos.de/hr/plattformen/matomo/  
Stanje: 25.10.2026  
Pružatelj: PHP SOS, PHP hitna pomoć i sigurnost poslužitelja. Hitna pomoć putem WhatsAppa: https://wa.me/491736494914?text=Pozdrav%20PHP%20SOS%2C%20trebamo%20pomo%C4%87%20s%20na%C5%A1im%20PHP%20poslu%C5%BEiteljem.%20Tvrtka%3A%20%E2%80%A6%20Web-stranica%3A%20%E2%80%A6

**Ukratko:** Matomo sigurnost nakon PHP2Shella više je od pitanja statistike. Kompromitirani Matomo poslužitelj putem tracker skripte može ubaciti kôd u svaku povezanu web-stranicu. Zakrpajte PHP za web i arhiviranje, ponovno pokrenite i potom provjerite `matomo.js`, `config.ini.php`, superusere i auth tokene.

## Zašto Matomo nakon PHP2Shella osobito vrijedi

Mnoga poduzeća, tijela vlasti i agencije koriste Matomo kao alternativu vanjskim analitičkim uslugama prihvatljivijom za zaštitu podataka i sami ga vode, često na vlastitoj poddomeni. Matomo radi na PHP-u. Ranjivosti CVE-2026-109618 i CVE-2026-109619 prema PHP timu omogućuju zlonamjerni kôd na daljinu bez prijave, bez obzira na to koliko je Matomo aktualan. Što stoji iza ranjivosti, objašnjava stranica [Što je PHP2Shell?](https://phpsos.de/hr/php2shell/was-ist-php2shell/).

Posebnost Matomoa je doseg. Svaka praćena web-stranica učitava tracker skriptu s Matomo poslužitelja. Ako se `matomo.js` izmijeni, tuđi kôd izvršava se u pregledniku svih posjetitelja tih web-stranica, i ondje gdje je sama web-stranica čista. Agencija s jednim središnjim Matomom za mnogo klijenata time nosi rizik za sve njih.

Tu su i podaci: zapisnici posjeta, ovisno o postavkama skraćene ili potpune IP adrese, pozivi stranica, podaci o kampanjama i obrascima iz dodataka. Opće napomene o obvezama prijave naći ćete u području Compliance; u pojedinačnom slučaju odlučuje Vaš službenik za zaštitu podataka.

## Matomo sigurnost: provjera verzije PHP-a i arhiviranja

Pod **Administracija > Dijagnostika > Provjera sustava** Matomo prikazuje verziju PHP-a i provjerava preduvjete, među njima integritet programskih datoteka. Ispravljene upstream verzije su 8.5.12, 8.4.27, 8.3.36 i 8.2.35; backportovi distribucija često nose starije brojeve.

Izvješća kod većih instalacija Matomo generira putem cron zadatka s PHP-om naredbenog retka. Ta verzija može odstupati od web PHP-a i također mora biti zakrpana. Koje PHP verzije podržava Vaša verzija Matomoa, provjerite prema sistemskim zahtjevima na matomo.org.

```bash
# Ispis dijagnostike kao u provjeri sustava u naredbenom retku
./console diagnostics:run
# Pogled na datum izmjene tracker datoteka
ls -l matomo.js piwik.js
```

## Gdje se zlonamjerni kôd nalazi u Matomou

| Mjesto | Sadržaj | Točka provjere |
|---|---|---|
| `matomo.js`, `piwik.js` | Tracker skripta za sve web-stranice | Sadržaj i datum izmjene, provjera integriteta |
| `config/config.ini.php` | Pristup bazi podataka, salt, pouzdani hostovi | Umetnute vrijednosti, nakon sumnje obnoviti pristup |
| `plugins/` | Dodaci s Marketplacea i vlastiti | Nepoznati ili izmijenjeni dodaci |
| `tmp/` | Predmemorija, generirani assetsi, kompilirani predlošci | Nakon čišćenja isprazniti |
| `misc/user/` | Vlastiti logotipi i prilagodbe | Nema PHP datoteka |

Neki dodaci ponovno pišu tracker datoteku kako bi uključili vlastite funkcije. Zato je `matomo.js` na mnogim poslužiteljima dostupan za pisanje web-poslužitelju, što je čini privlačnom napadačima. Nakon sumnje pažljivo provjerite sadržaj i usporedite ga s originalnim paketom svoje verzije.

> **Djelujte odmah:**
> Ako u tracker skripti nađete strani kôd, privremeno uklonite Matomo tracking kôd s povezanih web-stranica ili blokirajte datoteku. Inače je svake minute isporučuje novim posjetiteljima.

## Superuseri, tokeni i dodaci

Superuseri u Matomou imaju sva prava, i za dodatke i sistemske postavke. Provjerite popis korisnika na nepoznate superusere i aktivirajte dvofaktorsku prijavu koju Matomo donosi. Auth tokeni u osobnim sigurnosnim postavkama omogućuju API pristup bez lozinke; nakon sumnje obnovite ih.

Dodaci s Marketplacea proširuju Matomo, ali donose vlastiti kôd. Zadržite samo ono što se koristi i, ako je moguće, ograničite pristup administraciji na poznate mreže. Na povezanim web-stranicama pomaže Content Security Policy koja dopušta skripte samo iz poznatih izvora; više o tome na stranici [Sigurnosna zaglavlja za web-stranice](https://phpsos.de/hr/ratgeber/sicherheits-header/).

## Što Matomo ažuriranje može, a što ne

Matomo ažuriranje zamjenjuje programske datoteke i zatvara poznate pogreške. Ne zakrpava PHP, ne pokreće ponovno ni PHP-FPM ni cron zadatke arhiviranja i ne uklanja strane superusere, tokene ili dodatke. Je li se prije zakrpe posjetiteljima isporučivao kôd, ažuriranje ne odgovara; za to su potrebni logovi od 20.10.2026.

Ako se Matomo samo interno analizira, administracija se može ograničiti na mrežu tvrtke, dok javno ostaju samo tracking krajnje točke. Tu spadaju tracker skripta i krajnja točka na koju se javljaju posjeti; koje su to datoteke u Vašoj verziji, utvrdite sa svojim operaterom. Tako površina napada web-sučelja ostaje mala. Protiv PHP2Shella to ipak ne zamjenjuje zakrpu jer i tracking krajnja točka radi preko PHP-a.

## Kako PHP SOS konkretno pomaže?

- Provjeravamo web i CLI PHP Vašeg Matomo poslužitelja te dajemo potvrditi zakrpu i ponovno pokretanje.
- Osiguravamo logove i uspoređujemo `matomo.js` i programske datoteke s originalom.
- Provjeravamo konfiguraciju, dodatke, superusere i tokene te s Vama obnavljamo pristupe.
- Kod isporučenog zlonamjernog koda naša [hitna pomoć](https://phpsos.de/hr/leistungen/website-gehackt-notfallhilfe/) koordinira čišćenje Matomoa i povezanih web-stranica.


## Česta pitanja

**Zašto je hakirani Matomo poslužitelj toliko opasan?**  
Svaka praćena web-stranica učitava tracker skriptu s Matomo poslužitelja. Ako se ta datoteka izmijeni, tuđi kôd izvršava se u pregledniku svih posjetitelja svih povezanih web-stranica. Jedan analitički poslužitelj tako postaje distributer.

**Gdje u Matomou vidim verziju PHP-a?**  
Pod Administracija > Dijagnostika > Provjera sustava. Tamo Matomo prikazuje verziju PHP-a i provjerava ostale preduvjete, uključujući integritet datoteka. Backport po tome ne prepoznajete; to potvrđuje Vaš operater.

**Moram li nakon sumnje obnoviti Matomo tokene?**  
Da. Auth tokeni omogućuju pristup Matomo API-ju bez lozinke. Obnovite ih za sve korisnike i nove tokene unesite u povezane sustave poput nadzornih ploča ili alata za izvješćivanje.

## Izvori

- [php.net: sigurnosne objave](https://www.php.net/)
- [Matomo](https://matomo.org/)
- [OWASP Cheat Sheets](https://cheatsheetseries.owasp.org/)
- [GDPR čl. 33](https://dsgvo-gesetz.de/art-33-dsgvo/)