Īsi: Matomo drošība pēc PHP2Shell nav tikai statistikas jautājums. Kompromitēts Matomo serveris ar tracker skriptu var ievadīt kodu katrā pieslēgtajā vietnē. Ielāpojiet PHP tīmeklim un arhivēšanai, pārstartējiet un pēc tam pārbaudiet matomo.js, config.ini.php, Superuser un Auth pilnvaras.
Kāpēc Matomo pēc PHP2Shell ir īpaši svarīgs
Daudzi uzņēmumi, iestādes un aģentūras Matomo izmanto kā datu aizsardzībai draudzīgu alternatīvu ārējiem analītikas pakalpojumiem un uztur to paši, bieži atsevišķā apakšdomēnā. Matomo darbojas uz PHP. Ievainojamības CVE-2026-109618 un CVE-2026-109619 saskaņā ar PHP komandu ļauj izpildīt ļaunprātīgu kodu no attāluma bez pieteikšanās, neatkarīgi no tā, cik aktuāls ir Matomo. Kas slēpjas aiz ievainojamībām, skaidro raksts Kas ir PHP2Shell?.
Matomo īpatnība ir tā aptvere. Katra izsekotā vietne tracker skriptu ielādē no Matomo servera. Ja matomo.js tiek mainīts, svešs kods tiek izpildīts šo vietņu visu apmeklētāju pārlūkā, arī tur, kur pati vietne ir tīra. Aģentūra ar centrālu Matomo daudziem klientiem tādējādi uzņemas risku visiem.
Pievienojas dati: apmeklējumu protokoli, atkarībā no iestatījuma saīsinātas vai pilnas IP adreses, lapu izsaukumi, kampaņu un veidlapu dati no spraudņiem. Vispārīgus norādījumus par ziņošanas pienākumiem atradīsiet sadaļā Atbilstība (Compliance); konkrētajā gadījumā lemj jūsu datu aizsardzības speciālists.
Matomo drošība: PHP versijas un arhivēšanas pārbaude
Sadaļā Administrācija > Diagnostika > Sistēmas pārbaude Matomo rāda PHP versiju un pārbauda priekšnosacījumus, arī programmfailu integritāti. Labotās upstream versijas ir 8.5.12, 8.4.27, 8.3.36 un 8.2.35; distributīvu backport labojumiem bieži ir vecāki numuri.
Pārskatus lielākās instalācijās Matomo ģenerē ar cron uzdevumu, izmantojot komandrindas PHP. Šī versija var atšķirties no tīmekļa PHP, un tai jābūt ielāpotai tāpat. Kuras PHP versijas atbalsta jūsu Matomo versija, pārbaudiet pēc sistēmas prasībām vietnē matomo.org.
# Izvadīt diagnostiku komandrindā tāpat kā sistēmas pārbaudē
./console diagnostics:run
# Apskatīt tracker failu izmaiņu datumu
ls -l matomo.js piwik.js
Kur Matomo atrodas ļaunprātīgs kods
| Vieta | Saturs | Pārbaudes punkts |
|---|---|---|
matomo.js, piwik.js |
Tracker skripts visām vietnēm | Saturs un izmaiņu datums, integritātes pārbaude |
config/config.ini.php |
Datubāzes piekļuve, salt, uzticamie resursdatori | Ievietotas vērtības, piekļuvi aizdomu gadījumā mainīt |
plugins/ |
Spraudņi no Marketplace un pašu | Nezināmi vai mainīti spraudņi |
tmp/ |
Kešatmiņa, ģenerētie assets, kompilētas veidnes | Pēc attīrīšanas iztukšot |
misc/user/ |
Pašu logotipi un pielāgojumi | Nav PHP failu |
Daži spraudņi pārraksta tracker failu, lai iekļautu savas funkcijas. Tāpēc matomo.js daudzos serveros ir rakstāms tīmekļa serverim, kas to padara pievilcīgu uzbrucējiem. Aizdomu gadījumā rūpīgi pārbaudiet saturu un salīdziniet to ar savas versijas oriģinālo pakotni.
Ja tracker skriptā atrodat svešu kodu, uz laiku noņemiet Matomo izsekošanas kodu no pieslēgtajām vietnēm vai bloķējiet failu. Katru minūti tas citādi kodu piegādā tālākiem apmeklētājiem.
Superuser, pilnvaras un spraudņi
Superuser Matomo ir pilnas tiesības, arī uz spraudņiem un sistēmas iestatījumiem. Pārbaudiet lietotāju sarakstu uz nezināmiem Superuser un aktivizējiet divfaktoru autentifikāciju, ko Matomo nodrošina. Auth pilnvaras personīgajos drošības iestatījumos ļauj piekļūt API bez paroles; aizdomu gadījumā tās mainiet.
Spraudņi no Marketplace paplašina Matomo, bet atnes savu kodu. Paturiet tikai to, kas vajadzīgs, un, ja iespējams, ierobežojiet piekļuvi administrēšanai zināmiem tīkliem. Pieslēgtajās vietnēs palīdz Content-Security-Policy, kas atļauj skriptus tikai no zināmiem avotiem; vairāk par to sadaļā Drošības galvenes (headers) vietnēm.
Ko Matomo atjauninājums var un ko ne
Matomo atjauninājums aizstāj programmfailus un aizver zināmas kļūdas. Tas neielāpo PHP, nepārstartē ne PHP-FPM, ne arhivēšanas cron uzdevumus un nenoņem svešus Superuser, pilnvaras vai spraudņus. Vai pirms ielāpa apmeklētājiem ir piegādāts kods, atjauninājums neatbild; tam vajadzīgi žurnāli no 20.10.2026.
Ja Matomo tiek izmantots tikai iekšēji, administrēšanu var ierobežot uz uzņēmuma tīklu, savukārt publiski paliek tikai izsekošanas galapunkti. Tie ir tracker skripts un galapunkts, kuram tiek ziņots par apmeklējumiem; kuri faili tie ir jūsu versijā, vienojieties ar savu operatoru. Tā tīmekļa saskarnes uzbrukuma virsma paliek maza. Pret PHP2Shell tas tomēr ielāpu neaizstāj, jo arī izsekošanas galapunkts darbojas caur PHP.
Kā PHP SOS palīdz konkrēti?
- Mēs pārbaudām jūsu Matomo servera tīmekļa un CLI PHP un liekam apstiprināt ielāpu un pārstartēšanu.
- Mēs saglabājam žurnālus un salīdzinām
matomo.jsun programmfailus ar oriģinālu. - Mēs pārbaudām konfigurāciju, spraudņus, Superuser un pilnvaras un kopā ar jums mainām piekļuves.
- Piegādāta ļaunprātīga koda gadījumā mūsu ārkārtas palīdzība koordinē Matomo un pieslēgto vietņu attīrīšanu.
Biežāk uzdotie jautājumi
Kāpēc uzlauzts Matomo serveris ir tik bīstams?
Katra izsekotā vietne tracker skriptu ielādē no Matomo servera. Ja šis fails tiek mainīts, svešs kods tiek izpildīts visu pieslēgto vietņu visu apmeklētāju pārlūkā. Viens analītikas serveris tādējādi kļūst par izplatītāju.
Kur Matomo redzu PHP versiju?
Sadaļā Administrācija > Diagnostika > Sistēmas pārbaude. Tur Matomo rāda PHP versiju un pārbauda citus priekšnosacījumus, arī failu integritāti. Backport pēc tā neatpazīsiet; to apstiprina jūsu operators.
Vai aizdomu gadījumā man jāmaina Matomo pilnvaras?
Jā. Auth pilnvaras (token) ļauj piekļūt Matomo API bez paroles. Mainiet tās visiem lietotājiem un ierakstiet jaunās pilnvaras pieslēgtajās sistēmās, piemēram, informācijas paneļos vai pārskatu rīkos.