In breve: dopo PHP2Shell la sicurezza di Matomo è più di una questione di statistiche. Un server Matomo compromesso può introdurre codice in ogni sito collegato tramite lo script del tracker. Aggiorni PHP per web e archiviazione, riavvii e controlli poi matomo.js, config.ini.php, superuser e token di autenticazione.
Perché Matomo conta in modo particolare dopo PHP2Shell
Molte aziende, autorità e agenzie usano Matomo come alternativa rispettosa della privacy ai servizi di analisi esterni e lo gestiscono in proprio, spesso su un sottodominio dedicato. Matomo gira su PHP. Le vulnerabilità CVE-2026-109618 e CVE-2026-109619 consentono, secondo il team PHP, di eseguire codice dannoso da remoto senza autenticazione, per quanto Matomo sia aggiornato. Che cosa c'è dietro le vulnerabilità lo spiega Che cos'è PHP2Shell?.
La particolarità di Matomo è la portata. Ogni sito tracciato carica lo script del tracker dal server Matomo. Se matomo.js viene modificato, codice estraneo gira nel browser di tutti i visitatori di quei siti, anche dove il sito stesso è pulito. Un'agenzia con un Matomo centrale per molti clienti porta così un rischio per tutti.
A ciò si aggiungono i dati: log delle visite, a seconda dell'impostazione indirizzi IP abbreviati o completi, visualizzazioni di pagina, dati di campagne e di moduli provenienti da plugin. Indicazioni generali sugli obblighi di notifica si trovano nell'area Compliance; nel singolo caso decide il Suo responsabile della protezione dei dati.
Sicurezza di Matomo: verificare versione di PHP e archiviazione
In Amministrazione > Diagnostica > Controllo di sistema, Matomo mostra la versione di PHP e verifica i requisiti, compresa l'integrità dei file del programma. Le versioni upstream corrette sono 8.5.12, 8.4.27, 8.3.36 e 8.2.35; i backport delle distribuzioni portano spesso numeri più vecchi.
Nelle installazioni più grandi Matomo genera i report tramite un cronjob con il PHP a riga di comando. Questa versione può differire dal PHP web e deve essere altrettanto aggiornata. Quali versioni di PHP supporta la Sua versione di Matomo, lo verifichi nei requisiti di sistema su matomo.org.
# Emettere da riga di comando la diagnostica come nel controllo di sistema
./console diagnostics:run
# Vedere la data di modifica dei file del tracker
ls -l matomo.js piwik.js
Dove si annida il codice dannoso in Matomo
| Posizione | Contenuto | Punto da controllare |
|---|---|---|
matomo.js, piwik.js |
Script del tracker per tutti i siti | Contenuto e data di modifica, controllo dell'integrità |
config/config.ini.php |
Accesso al database, salt, host attendibili | valori aggiunti, rinnovare l'accesso in caso di sospetto |
plugins/ |
Plugin del Marketplace e propri | plugin sconosciuti o modificati |
tmp/ |
Cache, asset generati, template compilati | svuotare dopo la bonifica |
misc/user/ |
loghi propri e personalizzazioni | nessun file PHP |
Alcuni plugin riscrivono il file del tracker per integrare funzioni proprie. Per questo matomo.js su molti server è scrivibile dal web server, il che lo rende attraente per gli aggressori. In caso di sospetto controlli con precisione il contenuto e lo confronti con il pacchetto originale della Sua versione.
Se trova codice estraneo nello script del tracker, rimuova temporaneamente il codice di tracciamento di Matomo dai siti collegati o blocchi il file. Altrimenti ogni minuto lo consegna ad altri visitatori.
Superuser, token e plugin
In Matomo i superuser hanno pieni diritti, anche su plugin e impostazioni di sistema. Controlli l'elenco degli utenti alla ricerca di superuser sconosciuti e attivi l'autenticazione a due fattori inclusa in Matomo. I token di autenticazione nelle impostazioni di sicurezza personali consentono accessi API senza password; li rinnovi in caso di sospetto.
I plugin del Marketplace ampliano Matomo, ma portano codice proprio. Tenga solo ciò che serve e limiti, se possibile, l'accesso all'amministrazione a reti note. Sui siti collegati aiuta una Content Security Policy che consenta gli script solo da fonti note; maggiori dettagli in Header di sicurezza per i siti web.
Che cosa può fare un aggiornamento di Matomo e che cosa no
Un aggiornamento di Matomo sostituisce i file del programma e chiude errori noti. Non applica patch a PHP, non riavvia né PHP-FPM né i cronjob di archiviazione e non rimuove superuser, token o plugin estranei. Se prima della patch sia stato consegnato codice ai visitatori, un aggiornamento non lo dice; servono i log a partire dal 20/10/2026.
Se Matomo viene valutato solo internamente, l'amministrazione può essere limitata alla rete aziendale, mentre restano pubblici solo gli endpoint di tracciamento. Ne fanno parte lo script del tracker e l'endpoint a cui vengono segnalate le visite; quali file siano nella Sua versione, lo stabilisce con il Suo gestore. Così la superficie di attacco dell'interfaccia web resta ridotta. Contro PHP2Shell ciò non sostituisce però la patch, perché anche l'endpoint di tracciamento gira su PHP.
In che modo PHP SOS aiuta concretamente?
- Verifichiamo PHP web e CLI del Suo server Matomo e ci facciamo confermare patch e riavvio.
- Mettiamo al sicuro i log e confrontiamo
matomo.jse i file del programma con l'originale. - Controlliamo configurazione, plugin, superuser e token e rinnoviamo gli accessi insieme a Lei.
- In caso di codice dannoso consegnato, la nostra assistenza di emergenza coordina la bonifica di Matomo e dei siti collegati.
Domande frequenti
Perché un server Matomo violato è così pericoloso?
Ogni sito tracciato carica lo script del tracker dal server Matomo. Se questo file viene modificato, codice estraneo gira nel browser di tutti i visitatori di tutti i siti collegati. Un singolo server di analisi diventa così un distributore.
Dove vedo la versione di PHP in Matomo?
In Amministrazione > Diagnostica > Controllo di sistema. Lì Matomo mostra la versione di PHP e verifica altri requisiti, anche l'integrità dei file. Da esso non si riconosce un backport; lo conferma il Suo gestore.
In caso di sospetto devo rinnovare i token di Matomo?
Sì. I token di autenticazione consentono l'accesso all'API di Matomo senza password. Li rinnovi per tutti gli utenti e inserisca i nuovi token nei sistemi collegati come dashboard o strumenti di reporting.