# Sigurtà ta' Matomo wara PHP2Shell: kif tissigurizzaw analitika tal-web self-hosted

> Sigurizzaw Matomo wara PHP2Shell: ara PHP fis-System Check, kkontrollaw matomo.js u config.ini.php u ivverifikaw it-tokens u s-superusers. Hekk isir.

Sors: https://phpsos.de/mt/plattformen/matomo/  
Stat: 25/10/2026  
Fornitur: PHP SOS, Għajnuna ta' emerġenza għal PHP u sigurtà tas-server. Għajnuna immedjata fuq WhatsApp: https://wa.me/491736494914?text=Bongu%20PHP%20SOS%2C%20g%C4%A7andna%20b%C5%BConn%20g%C4%A7ajnuna%20bis-server%20tal-PHP%20tag%C4%A7na.%20Kumpanija%3A%20%E2%80%A6%20Websajt%3A%20%E2%80%A6

**Fil-qosor:** Is-sigurtà ta' Matomo wara PHP2Shell hija aktar minn kwistjoni ta' statistika. Server ta' Matomo kompromess jista' permezz tal-iskript tat-tracker jidħol kodiċi f'kull websajt konnessa. Ippatchjaw PHP għall-web u għall-arkivjazzjoni, erġgħu ibdew u wara ivverifikaw `matomo.js`, `config.ini.php`, is-superusers u l-auth tokens.

## Għaliex Matomo jgħodd b'mod partikolari wara PHP2Shell

Ħafna kumpaniji, awtoritajiet u aġenziji jużaw Matomo bħala alternattiva favur il-protezzjoni tad-data għal servizzi esterni ta' analitika u jħaddmuh huma stess, spiss fuq subdomain proprju. Matomo jaħdem fuq PHP. Skont it-tim ta' PHP, il-vulnerabbiltajiet CVE-2026-109618 u CVE-2026-109619 jippermettu kodiċi malizzjuż mill-bogħod mingħajr login, ikun x'ikun kemm Matomo huwa aġġornat. X'hemm wara l-vulnerabbiltajiet jispjegah [X'inhu PHP2Shell?](https://phpsos.de/mt/php2shell/was-ist-php2shell/).

Il-partikolarità ta' Matomo hija l-firxa. Kull websajt traċċata tgħabbi l-iskript tat-tracker mis-server ta' Matomo. Jekk `matomo.js` jinbidel, kodiċi barrani jaħdem fil-browser tal-viżitaturi kollha ta' dawn il-websajts, anke fejn il-websajt innifsha hija nadifa. Aġenzija b'Matomo ċentrali għal ħafna klijenti għalhekk iġġorr riskju għal kulħadd.

Jiżdiedu d-data: protokolli tal-viżti, indirizzi IP imqassra jew sħaħ skont l-issettjar, aċċessi għall-paġni, data ta' kampanji u ta' formoli minn plugins. Tagħrif ġenerali dwar l-obbligi ta' notifika ssibu fit-taqsima Compliance; f'każ individwali jiddeċiedi l-uffiċjal tal-protezzjoni tad-data tagħkom.

## Sigurtà ta' Matomo: ivverifikaw il-verżjoni ta' PHP u l-arkivjazzjoni

Taħt **Administration > Diagnostics > System Check** Matomo juri l-verżjoni ta' PHP u jivverifika rekwiżiti, fosthom l-integrità tal-fajls tal-programm. Il-verżjonijiet upstream rranġati huma 8.5.12, 8.4.27, 8.3.36 u 8.2.35; il-backports tad-distribuzzjonijiet spiss iġorru numri eqdem.

Ir-rapporti Matomo jiġġenerahom f'installazzjonijiet akbar permezz ta' cronjob bil-PHP tal-linja tal-kmand. Din il-verżjoni tista' tvarja mill-PHP tal-web u trid tkun ippatchjata wkoll. Liema verżjonijiet ta' PHP tappoġġja l-verżjoni ta' Matomo tagħkom tivverifikawh, skont ir-rekwiżiti tas-sistema, fuq matomo.org.

```bash
# Ħareġ id-dijanjostika bħal fis-System Check mil-linja tal-kmand
./console diagnostics:run
# Ara d-data tal-bidla tal-fajls tat-tracker
ls -l matomo.js piwik.js
```

## Fejn joqgħod il-kodiċi malizzjuż f'Matomo

| Post | Kontenut | Punt ta' verifika |
|---|---|---|
| `matomo.js`, `piwik.js` | Skript tat-tracker għall-websajts kollha | Kontenut u data tal-bidla, verifika tal-integrità |
| `config/config.ini.php` | Aċċess tad-database, salt, hosts fdati | Valuri miżjuda, ġeddu l-aċċess wara suspett |
| `plugins/` | Plugins mill-Marketplace u proprji | Plugins mhux magħrufa jew mibdula |
| `tmp/` | Cache, assets iġġenerati, templates ikkompilati | Ibattluh wara t-tindif |
| `misc/user/` | Logos u adattamenti proprji | L-ebda fajl PHP |

Xi plugins jikteb mill-ġdid il-fajl tat-tracker biex jintegraw funzjonijiet proprji. Għalhekk `matomo.js` fuq ħafna servers jista' jinkiteb mis-server tal-web, u dan jagħmlu attraenti għall-attakkanti. Ivverifikaw il-kontenut bir-reqqa wara suspett u qabbluh mal-pakkett oriġinali tal-verżjoni tagħkom.

> **Aġixxu immedjatament:**
> Jekk issibu kodiċi barrani fl-iskript tat-tracker, neħħu temporanjament il-kodiċi tat-tracking ta' Matomo mill-websajts konnessi jew ibblokkaw il-fajl. Kull minuta inkella tkompli twassal il-kodiċi lil aktar viżitaturi.

## Superusers, tokens u plugins

Is-superusers f'Matomo għandhom drittijiet sħaħ, anke għall-plugins u l-issettjar tas-sistema. Ivverifikaw il-lista tal-utenti għal superusers mhux magħrufa u attivaw il-login b'żewġ fattur li Matomo jiġi miegħu. L-auth tokens taħt l-issettjar personali tas-sigurtà jippermettu aċċess għall-API mingħajr password; ġedduhom wara suspett.

Il-plugins mill-Marketplace jespandu lil Matomo, imma jġibu kodiċi proprju. Żommu biss dak li hu meħtieġ u illimitaw, jekk possibbli, l-aċċess għall-amministrazzjoni għal netwerks magħrufa. Fuq il-websajts konnessi tgħin Content Security Policy li tippermetti skripts biss minn sorsi magħrufa; aktar dwar dan taħt [Headers tas-sigurtà għall-websajts](https://phpsos.de/mt/ratgeber/sicherheits-header/).

## X'jista' jagħmel aġġornament ta' Matomo u x'ma jistax

Aġġornament ta' Matomo jissostitwixxi l-fajls tal-programm u jagħlaq żbalji magħrufa. Ma jipatchjax PHP, ma jibdiex mill-ġdid la PHP-FPM u lanqas cronjobs tal-arkivjazzjoni u ma jneħħix superusers, tokens jew plugins barranin. Jekk qabel il-patch ġie kkonsenjat kodiċi lill-viżitaturi ma jweġibx aġġornament; għal dan hemm bżonn logs mill-20/10/2026.

Jekk Matomo jiġi analizzat biss internament, l-amministrazzjoni tista' tkun limitata għan-netwerk tal-kumpanija, filwaqt li biss l-endpoints tat-tracking jibqgħu pubbliċi. Dawn jinkludu l-iskript tat-tracker u l-endpoint li lilu jiġu rrappurtati l-viżti; liema fajls huma dawn fil-verżjoni tagħkom tiddeċiduhom mal-operatur tagħkom. Hekk is-superfiċje ta' attakk tal-interface tal-web tibqa' żgħira. Kontra PHP2Shell dan ma jissostitwixxix il-patch, għax anke l-endpoint tat-tracking jaħdem permezz ta' PHP.

## Kif tgħin PHP SOS b'mod konkret?

- Niċċekkjaw il-PHP tal-web u tas-CLI tas-server ta' Matomo tagħkom u nikkonfermaw il-patch u r-restart.
- Insalvaw il-logs u nqabblu `matomo.js` u l-fajls tal-programm mal-oriġinal.
- Niċċekkjaw il-konfigurazzjoni, il-plugins, is-superusers u t-tokens u nġeddu l-aċċessi miegħekom.
- F'każ ta' kodiċi malizzjuż ikkonsenjat, l-[għajnuna ta' emerġenza](https://phpsos.de/mt/leistungen/website-gehackt-notfallhilfe/) tagħna tikkoordina t-tindif ta' Matomo u tal-websajts konnessi.


## Mistoqsijiet frekwenti

**Għaliex server ta' Matomo hacked huwa daqshekk perikoluż?**  
Kull websajt traċċata tgħabbi l-iskript tat-tracker mis-server ta' Matomo. Jekk dan il-fajl jinbidel, kodiċi barrani jaħdem fil-browser tal-viżitaturi kollha tal-websajts konnessi kollha. Server wieħed tal-analitika hekk isir distributur.

**Fejn nara l-verżjoni ta' PHP f'Matomo?**  
Taħt Administration > Diagnostics > System Check. Hemmhekk Matomo juri l-verżjoni ta' PHP u jivverifika rekwiżiti oħra, anke l-integrità tal-fajls. Backport ma tagħrfuhx minn hemm; dan jikkonfermah l-operatur tagħkom.

**Irrid inġedded it-tokens ta' Matomo wara suspett?**  
Iva. L-auth tokens jippermettu aċċess għall-API ta' Matomo mingħajr password. Ġedduhom għall-utenti kollha u daħħlu t-tokens il-ġodda fis-sistemi konnessi bħal dashboards jew għodod tar-rapporti.

## Sorsi

- [php.net: Avviżi tas-sigurtà](https://www.php.net/)
- [Matomo](https://matomo.org/)
- [OWASP Cheat Sheets](https://cheatsheetseries.owasp.org/)
- [GDPR Art. 33](https://dsgvo-gesetz.de/art-33-dsgvo/)