Trumpai: Po PHP2Shell Matomo saugumas yra daugiau nei statistikos klausimas. Kompromituotas Matomo serveris per sekimo scenarijų gali įterpti kodą į kiekvieną prijungtą svetainę. Pataisykite PHP žiniatinkliui ir archyvavimui, paleiskite iš naujo, o po to patikrinkite matomo.js, config.ini.php, Superuser ir Auth žetonus.
Kodėl Matomo po PHP2Shell ypač svarbus
Daug įmonių, institucijų ir agentūrų Matomo naudoja kaip duomenų apsaugai palankią alternatyvą išorinėms analitikos paslaugoms ir pačios jį talpina, dažnai savo subdomene. Matomo veikia su PHP. PHP komandos teigimu, spragos CVE-2026-109618 ir CVE-2026-109619 leidžia vykdyti kenkėjišką kodą nuotoliniu būdu be prisijungimo, nesvarbu, kaip naujas Matomo. Kas slypi už spragų, paaiškina Kas yra PHP2Shell?.
Ypatinga Matomo savybė yra aprėptis. Kiekviena stebima svetainė sekimo scenarijų įkelia iš Matomo serverio. Jei matomo.js pakeičiamas, svetimas kodas vykdomas visų šių svetainių lankytojų naršyklėse, net ten, kur pati svetainė švari. Agentūra su vienu centriniu Matomo daugeliui klientų taip prisiima riziką visiems.
Be to, yra duomenys: apsilankymų žurnalai, pagal nustatymus sutrumpinti ar pilni IP adresai, puslapių peržiūros, kampanijų ir formų duomenys iš įskiepių. Bendros informacijos apie pareigą pranešti rasite atitikties (Compliance) skiltyje; konkrečiu atveju sprendžia jūsų duomenų apsaugos pareigūnas.
Matomo saugumas: PHP versijos ir archyvavimo patikra
Skiltyje Administravimas > Diagnostika > Sistemos patikra Matomo rodo PHP versiją ir tikrina reikalavimus, įskaitant programos failų vientisumą. Ištaisytos oficialios (upstream) versijos yra 8.5.12, 8.4.27, 8.3.36 ir 8.2.35; distribucijų atgaliniai perkėlimai (backport) dažnai turi senesnius numerius.
Ataskaitas didesniuose diegimuose Matomo generuoja per cron užduotį su komandinės eilutės PHP. Ši versija gali skirtis nuo žiniatinklio PHP ir taip pat turi būti pataisyta. Kurias PHP versijas palaiko jūsų Matomo versija, pagal sistemos reikalavimus patikrinkite matomo.org.
# Diagnostiką išvesti komandinėje eilutėje kaip sistemos patikroje
./console diagnostics:run
# Peržiūrėti sekimo failų keitimo datą
ls -l matomo.js piwik.js
Kur Matomo slepiasi kenkėjiškas kodas
| Vieta | Turinys | Patikros punktas |
|---|---|---|
matomo.js, piwik.js |
Sekimo scenarijus visoms svetainėms | Turinys ir keitimo data, vientisumo patikra |
config/config.ini.php |
Duomenų bazės prieiga, druska (salt), patikimi pagrindiniai kompiuteriai | įterptos reikšmės, kilus įtarimui atnaujinti prieigą |
plugins/ |
Įskiepiai iš Marketplace ir savi | nežinomi ar pakeisti įskiepiai |
tmp/ |
Talpykla, sugeneruoti ištekliai, sukompiliuoti šablonai | po išvalymo ištuštinti |
misc/user/ |
savi logotipai ir pritaikymai | jokių PHP failų |
Kai kurie įskiepiai perrašo sekimo failą, kad įtrauktų savo funkcijas. Todėl daugelyje serverių matomo.js žiniatinklio serveriui yra rašomas, o tai daro jį patrauklų užpuolikams. Kilus įtarimui atidžiai patikrinkite turinį ir palyginkite jį su jūsų versijos originaliu paketu.
Radę svetimo kodo sekimo scenarijuje, laikinai pašalinkite Matomo sekimo kodą iš prijungtų svetainių arba užblokuokite failą. Kiekviena minutė kitaip šį kodą pateikia vis daugiau lankytojų.
Superuser, žetonai ir įskiepiai
Matomo Superuser turi visas teises, taip pat įskiepiams ir sistemos nustatymams. Patikrinkite naudotojų sąrašą dėl nežinomų Superuser ir įjunkite Matomo turimą dviejų veiksnių prisijungimą. Auth žetonai asmeniniuose saugumo nustatymuose leidžia pasiekti API be slaptažodžio; kilus įtarimui juos atnaujinkite.
Įskiepiai iš Marketplace išplečia Matomo, bet atneša savo kodą. Palikite tik tai, ko reikia, ir, jei įmanoma, apribokite prieigą prie administravimo žinomais tinklais. Prijungtose svetainėse padeda turinio saugumo politika (Content-Security-Policy), leidžianti scenarijus tik iš žinomų šaltinių; daugiau apie tai puslapyje Saugumo antraštės svetainėms.
Ką gali Matomo atnaujinimas ir ko ne
Matomo atnaujinimas pakeičia programos failus ir uždaro žinomas klaidas. Jis netaiso PHP, nepaleidžia iš naujo nei PHP-FPM, nei archyvavimo cron užduočių ir nepašalina svetimų Superuser, žetonų ar įskiepių. Ar iki pataisos lankytojams buvo pateiktas kodas, atnaujinimas neatsako; tam reikia žurnalų nuo 2026 m. spalio 20 d.
Jei Matomo analizuojamas tik viduje, administravimą galima apriboti įmonės tinklu, o viešais palikti tik sekimo galinius taškus. Prie jų priklauso sekimo scenarijus ir galinis taškas, kuriam pranešama apie apsilankymus; kurie tai failai jūsų versijoje, nustatykite kartu su savo operatoriumi. Taip žiniatinklio sąsajos atakos paviršius lieka mažas. Nuo PHP2Shell tai tačiau pataisos nepakeičia, nes ir sekimo galinis taškas veikia per PHP.
Kaip PHP SOS padeda konkrečiai?
- Tikriname jūsų Matomo serverio žiniatinklio ir CLI PHP ir leidžiame patvirtinti pataisą bei paleidimą iš naujo.
- Išsaugome žurnalus ir lyginame
matomo.jsbei programos failus su originalu. - Tikriname konfigūraciją, įskiepius, Superuser ir žetonus ir kartu su jumis atnaujiname prieigas.
- Jei buvo pateiktas kenkėjiškas kodas, mūsų skubi pagalba koordinuoja Matomo ir prijungtų svetainių išvalymą.
Dažni klausimai
Kodėl nulaužtas Matomo serveris toks pavojingas?
Kiekviena stebima svetainė sekimo scenarijų įkelia iš Matomo serverio. Jei šis failas pakeistas, svetimas kodas vykdomas visų prijungtų svetainių visų lankytojų naršyklėse. Vienas analitikos serveris taip tampa platintoju.
Kur Matomo matau PHP versiją?
Skiltyje Administravimas > Diagnostika > Sistemos patikra. Ten Matomo rodo PHP versiją ir tikrina kitus reikalavimus, taip pat failų vientisumą. Atgalinio perkėlimo (backport) iš to neatpažinsite; tai patvirtina jūsų operatorius.
Ar kilus įtarimui turiu atnaujinti Matomo žetonus?
Taip. Auth žetonai leidžia pasiekti Matomo API be slaptažodžio. Atnaujinkite juos visiems naudotojams ir naujus žetonus įrašykite prijungtose sistemose, pavyzdžiui, skydeliuose ar ataskaitų įrankiuose.