Fil-qosor: Is-sigurtà ta' Matomo wara PHP2Shell hija aktar minn kwistjoni ta' statistika. Server ta' Matomo kompromess jista' permezz tal-iskript tat-tracker jidħol kodiċi f'kull websajt konnessa. Ippatchjaw PHP għall-web u għall-arkivjazzjoni, erġgħu ibdew u wara ivverifikaw matomo.js, config.ini.php, is-superusers u l-auth tokens.
Għaliex Matomo jgħodd b'mod partikolari wara PHP2Shell
Ħafna kumpaniji, awtoritajiet u aġenziji jużaw Matomo bħala alternattiva favur il-protezzjoni tad-data għal servizzi esterni ta' analitika u jħaddmuh huma stess, spiss fuq subdomain proprju. Matomo jaħdem fuq PHP. Skont it-tim ta' PHP, il-vulnerabbiltajiet CVE-2026-109618 u CVE-2026-109619 jippermettu kodiċi malizzjuż mill-bogħod mingħajr login, ikun x'ikun kemm Matomo huwa aġġornat. X'hemm wara l-vulnerabbiltajiet jispjegah X'inhu PHP2Shell?.
Il-partikolarità ta' Matomo hija l-firxa. Kull websajt traċċata tgħabbi l-iskript tat-tracker mis-server ta' Matomo. Jekk matomo.js jinbidel, kodiċi barrani jaħdem fil-browser tal-viżitaturi kollha ta' dawn il-websajts, anke fejn il-websajt innifsha hija nadifa. Aġenzija b'Matomo ċentrali għal ħafna klijenti għalhekk iġġorr riskju għal kulħadd.
Jiżdiedu d-data: protokolli tal-viżti, indirizzi IP imqassra jew sħaħ skont l-issettjar, aċċessi għall-paġni, data ta' kampanji u ta' formoli minn plugins. Tagħrif ġenerali dwar l-obbligi ta' notifika ssibu fit-taqsima Compliance; f'każ individwali jiddeċiedi l-uffiċjal tal-protezzjoni tad-data tagħkom.
Sigurtà ta' Matomo: ivverifikaw il-verżjoni ta' PHP u l-arkivjazzjoni
Taħt Administration > Diagnostics > System Check Matomo juri l-verżjoni ta' PHP u jivverifika rekwiżiti, fosthom l-integrità tal-fajls tal-programm. Il-verżjonijiet upstream rranġati huma 8.5.12, 8.4.27, 8.3.36 u 8.2.35; il-backports tad-distribuzzjonijiet spiss iġorru numri eqdem.
Ir-rapporti Matomo jiġġenerahom f'installazzjonijiet akbar permezz ta' cronjob bil-PHP tal-linja tal-kmand. Din il-verżjoni tista' tvarja mill-PHP tal-web u trid tkun ippatchjata wkoll. Liema verżjonijiet ta' PHP tappoġġja l-verżjoni ta' Matomo tagħkom tivverifikawh, skont ir-rekwiżiti tas-sistema, fuq matomo.org.
# Ħareġ id-dijanjostika bħal fis-System Check mil-linja tal-kmand
./console diagnostics:run
# Ara d-data tal-bidla tal-fajls tat-tracker
ls -l matomo.js piwik.js
Fejn joqgħod il-kodiċi malizzjuż f'Matomo
| Post | Kontenut | Punt ta' verifika |
|---|---|---|
matomo.js, piwik.js |
Skript tat-tracker għall-websajts kollha | Kontenut u data tal-bidla, verifika tal-integrità |
config/config.ini.php |
Aċċess tad-database, salt, hosts fdati | Valuri miżjuda, ġeddu l-aċċess wara suspett |
plugins/ |
Plugins mill-Marketplace u proprji | Plugins mhux magħrufa jew mibdula |
tmp/ |
Cache, assets iġġenerati, templates ikkompilati | Ibattluh wara t-tindif |
misc/user/ |
Logos u adattamenti proprji | L-ebda fajl PHP |
Xi plugins jikteb mill-ġdid il-fajl tat-tracker biex jintegraw funzjonijiet proprji. Għalhekk matomo.js fuq ħafna servers jista' jinkiteb mis-server tal-web, u dan jagħmlu attraenti għall-attakkanti. Ivverifikaw il-kontenut bir-reqqa wara suspett u qabbluh mal-pakkett oriġinali tal-verżjoni tagħkom.
Jekk issibu kodiċi barrani fl-iskript tat-tracker, neħħu temporanjament il-kodiċi tat-tracking ta' Matomo mill-websajts konnessi jew ibblokkaw il-fajl. Kull minuta inkella tkompli twassal il-kodiċi lil aktar viżitaturi.
Superusers, tokens u plugins
Is-superusers f'Matomo għandhom drittijiet sħaħ, anke għall-plugins u l-issettjar tas-sistema. Ivverifikaw il-lista tal-utenti għal superusers mhux magħrufa u attivaw il-login b'żewġ fattur li Matomo jiġi miegħu. L-auth tokens taħt l-issettjar personali tas-sigurtà jippermettu aċċess għall-API mingħajr password; ġedduhom wara suspett.
Il-plugins mill-Marketplace jespandu lil Matomo, imma jġibu kodiċi proprju. Żommu biss dak li hu meħtieġ u illimitaw, jekk possibbli, l-aċċess għall-amministrazzjoni għal netwerks magħrufa. Fuq il-websajts konnessi tgħin Content Security Policy li tippermetti skripts biss minn sorsi magħrufa; aktar dwar dan taħt Headers tas-sigurtà għall-websajts.
X'jista' jagħmel aġġornament ta' Matomo u x'ma jistax
Aġġornament ta' Matomo jissostitwixxi l-fajls tal-programm u jagħlaq żbalji magħrufa. Ma jipatchjax PHP, ma jibdiex mill-ġdid la PHP-FPM u lanqas cronjobs tal-arkivjazzjoni u ma jneħħix superusers, tokens jew plugins barranin. Jekk qabel il-patch ġie kkonsenjat kodiċi lill-viżitaturi ma jweġibx aġġornament; għal dan hemm bżonn logs mill-20/10/2026.
Jekk Matomo jiġi analizzat biss internament, l-amministrazzjoni tista' tkun limitata għan-netwerk tal-kumpanija, filwaqt li biss l-endpoints tat-tracking jibqgħu pubbliċi. Dawn jinkludu l-iskript tat-tracker u l-endpoint li lilu jiġu rrappurtati l-viżti; liema fajls huma dawn fil-verżjoni tagħkom tiddeċiduhom mal-operatur tagħkom. Hekk is-superfiċje ta' attakk tal-interface tal-web tibqa' żgħira. Kontra PHP2Shell dan ma jissostitwixxix il-patch, għax anke l-endpoint tat-tracking jaħdem permezz ta' PHP.
Kif tgħin PHP SOS b'mod konkret?
- Niċċekkjaw il-PHP tal-web u tas-CLI tas-server ta' Matomo tagħkom u nikkonfermaw il-patch u r-restart.
- Insalvaw il-logs u nqabblu
matomo.jsu l-fajls tal-programm mal-oriġinal. - Niċċekkjaw il-konfigurazzjoni, il-plugins, is-superusers u t-tokens u nġeddu l-aċċessi miegħekom.
- F'każ ta' kodiċi malizzjuż ikkonsenjat, l-għajnuna ta' emerġenza tagħna tikkoordina t-tindif ta' Matomo u tal-websajts konnessi.
Mistoqsijiet frekwenti
Għaliex server ta' Matomo hacked huwa daqshekk perikoluż?
Kull websajt traċċata tgħabbi l-iskript tat-tracker mis-server ta' Matomo. Jekk dan il-fajl jinbidel, kodiċi barrani jaħdem fil-browser tal-viżitaturi kollha tal-websajts konnessi kollha. Server wieħed tal-analitika hekk isir distributur.
Fejn nara l-verżjoni ta' PHP f'Matomo?
Taħt Administration > Diagnostics > System Check. Hemmhekk Matomo juri l-verżjoni ta' PHP u jivverifika rekwiżiti oħra, anke l-integrità tal-fajls. Backport ma tagħrfuhx minn hemm; dan jikkonfermah l-operatur tagħkom.
Irrid inġedded it-tokens ta' Matomo wara suspett?
Iva. L-auth tokens jippermettu aċċess għall-API ta' Matomo mingħajr password. Ġedduhom għall-utenti kollha u daħħlu t-tokens il-ġodda fis-sistemi konnessi bħal dashboards jew għodod tar-rapporti.