Röviden: A Matomo biztonsága a PHP2Shell után több, mint statisztikai kérdés. Egy feltört Matomo-szerver a tracker-szkripten át kódot juttathat be minden csatlakoztatott weboldalba. Javítsa a PHP-t a webhez és az archiváláshoz, indítson újra, majd ellenőrizze a matomo.js, a config.ini.php fájlt, a superusereket és az auth-tokeneket.
Miért számít különösen a Matomo a PHP2Shell után
Sok vállalkozás, hatóság és ügynökség használja a Matomót az adatvédelmi szempontból barátságos alternatívaként a külső elemző szolgáltatások helyett, és maga üzemelteti, gyakran saját aldomainen. A Matomo PHP-n fut. A CVE-2026-109618 és a CVE-2026-109619 rések a PHP-csapat szerint lehetővé teszik kártékony kód távoli futtatását bejelentkezés nélkül, bármennyire naprakész is a Matomo. Hogy mi áll a rések mögött, azt a Mi az a PHP2Shell? oldal magyarázza el.
A Matomo különlegessége a hatótávolság. Minden követett weboldal a Matomo-szerverről tölti be a tracker-szkriptet. Ha a matomo.js módosul, idegen kód fut ezeknek a weboldalaknak az összes látogatója böngészőjében, ott is, ahol maga a weboldal tiszta. Egy ügynökség, amelynek sok ügyfélhez egy központi Matomo-ja van, ezzel mindenki számára kockázatot visel.
Ehhez jönnek az adatok: látogatási naplók, a beállítástól függően csonkolt vagy teljes IP-címek, oldalmegnyitások, kampány- és űrlapadatok a bővítményekből. A bejelentési kötelezettségekre vonatkozó általános tudnivalókat a Compliance területen találja; az egyedi esetben az adatvédelmi felelőse dönt.
Matomo biztonság: a PHP-verzió és az archiválás ellenőrzése
Az Adminisztráció > Diagnosztika > Rendszerellenőrzés alatt a Matomo megmutatja a PHP-verziót, és feltételeket ellenőriz, köztük a programfájlok integritását. A javított upstream verziók: 8.5.12, 8.4.27, 8.3.36 és 8.2.35; a disztribúciók backportjai gyakran régebbi számot viselnek.
A jelentéseket a Matomo a nagyobb telepítéseknél egy cron-feladattal, a parancssori PHP-val állítja elő. Ez a verzió eltérhet a webes PHP-tól, és ugyanúgy javítottnak kell lennie. Hogy a Matomo-verziója mely PHP-verziókat támogatja, azt a rendszerkövetelmények szerint a matomo.org oldalon ellenőrizheti.
# A diagnosztika kiírása a parancssorban, mint a rendszerellenőrzésben
./console diagnostics:run
# A tracker-fájlok módosítási dátumának megtekintése
ls -l matomo.js piwik.js
Hol lapul a kártékony kód a Matomóban
| Hely | Tartalom | Ellenőrzési pont |
|---|---|---|
matomo.js, piwik.js |
tracker-szkript az összes weboldalhoz | tartalom és módosítás dátuma, integritásellenőrzés |
config/config.ini.php |
adatbázis-hozzáférés, salt, megbízható hosztok | beszúrt értékek, a hozzáférés megújítása gyanú esetén |
plugins/ |
a Marketplace és saját bővítmények | ismeretlen vagy módosított bővítmények |
tmp/ |
gyorsítótár, generált assetek, lefordított sablonok | tisztítás után kiüríteni |
misc/user/ |
saját logók és testreszabások | nincs PHP-fájl |
Egyes bővítmények újraírják a tracker-fájlt, hogy saját funkciókat építsenek be. Ezért a matomo.js sok szerveren írható a webszerver számára, ami vonzóvá teszi a támadók számára. Gyanú esetén pontosan ellenőrizze a tartalmát, és vesse össze a verziója eredeti csomagjával.
Ha idegen kódot talál a tracker-szkriptben, távolítsa el átmenetileg a Matomo követőkódot a csatlakoztatott weboldalakról, vagy zárolja a fájlt. Minden perc, amíg a szkript kiszolgálja a kódot, további látogatókat érint.
Superuserek, tokenek és bővítmények
A superusereknek a Matomóban teljes jogaik vannak, a bővítményekre és a rendszerbeállításokra is. Ellenőrizze a felhasználói listát ismeretlen superuserek szempontjából, és kapcsolja be a Matomo beépített kétfaktoros bejelentkezését. A személyes biztonsági beállítások alatti auth-tokenek jelszó nélküli API-hozzáférést engednek; gyanú esetén újítsa meg őket.
A Marketplace bővítményei bővítik a Matomót, de saját kódot hoznak magukkal. Csak azt tartsa meg, amire szükség van, és ha lehet, korlátozza az Adminisztráció elérését ismert hálózatokra. A csatlakoztatott weboldalakon segít egy Content-Security-Policy, amely szkripteket csak ismert forrásokból enged; erről bővebben a Biztonsági fejlécek weboldalakhoz oldalon.
Mit tud egy Matomo-frissítés, és mit nem
Egy Matomo-frissítés lecseréli a programfájlokat, és lezárja az ismert hibákat. A PHP-t nem javítja, sem a PHP-FPM-et, sem az archiváló cron-feladatokat nem indítja újra, és idegen superusereket, tokeneket vagy bővítményeket nem távolít el. Hogy a javítás előtt szolgáltak-e ki kódot a látogatóknak, azt egy frissítés nem válaszolja meg; ehhez naplókra van szükség 2026. 10. 20-tól.
Ha a Matomót csak belsőleg értékelik, az Adminisztráció a céges hálózatra korlátozható, miközben csak a követési végpontok maradnak nyilvánosak. Ide tartozik a tracker-szkript és a végpont, amelyre a látogatásokat jelentik; hogy melyek ezek a fájlok az Ön verziójában, azt az üzemeltetőjével határozza meg. Így a webes felület támadási felülete kicsi marad. A PHP2Shell ellen ez azonban nem pótolja a javítást, mert a követési végpont is a PHP-n át fut.
Hogyan segít konkrétan a PHP SOS?
- Ellenőrizzük a Matomo-szervere web- és CLI-s PHP-ját, és megerősíttetjük a javítást és az újraindítást.
- Mentjük a naplókat, és összevetjük a
matomo.jsfájlt és a programfájlokat az eredetivel. - Ellenőrizzük a konfigurációt, a bővítményeket, a superusereket és a tokeneket, és Önnel együtt megújítjuk a hozzáféréseket.
- Kiszolgált kártékony kód esetén a vészhelyzeti segítségünk koordinálja a Matomo és a csatlakoztatott weboldalak megtisztítását.
Gyakori kérdések
Miért olyan veszélyes egy feltört Matomo-szerver?
Minden követett weboldal a Matomo-szerverről tölti be a tracker-szkriptet. Ha ezt a fájlt módosítják, idegen kód fut az összes csatlakoztatott weboldal összes látogatójának böngészőjében. Egyetlen elemző szerver így elosztóvá válik.
Hol látom a Matomóban a PHP-verziót?
Az Adminisztráció > Diagnosztika > Rendszerellenőrzés alatt. Ott a Matomo megmutatja a PHP-verziót, és további feltételeket ellenőriz, a fájlok integritását is. Backportot ebből nem ismer fel; ezt az üzemeltetője erősíti meg.
Gyanú esetén meg kell újítanom a Matomo-tokeneket?
Igen. Az auth-tokenek jelszó nélkül engedik a Matomo API elérését. Újítsa meg őket az összes felhasználónak, és vezesse be az új tokeneket a csatlakoztatott rendszerekben, például irányítópultokban vagy jelentéskészítő eszközökben.