Krótko: Bezpieczeństwo Matomo to po PHP2Shell coś więcej niż kwestia statystyk. Skompromitowany serwer Matomo może przez skrypt trackera wprowadzić kod do każdej podłączonej strony. Proszę załatać PHP dla WWW i archiwizacji, zrestartować, a następnie sprawdzić matomo.js, config.ini.php, superużytkowników i tokeny auth.
Dlaczego Matomo ma po PHP2Shell szczególne znaczenie
Wiele firm, urzędów i agencji stosuje Matomo jako przyjazną dla ochrony danych alternatywę dla zewnętrznych usług analitycznych i prowadzi je samodzielnie, często na własnej subdomenie. Matomo działa na PHP. Luki CVE-2026-109618 i CVE-2026-109619 umożliwiają według zespołu PHP zdalne wykonanie złośliwego kodu bez logowania, bez względu na to, jak aktualne jest Matomo. Co kryje się za tymi lukami, wyjaśnia artykuł Czym jest PHP2Shell?.
Szczególną cechą Matomo jest zasięg. Każda śledzona strona ładuje skrypt trackera z serwera Matomo. Jeśli matomo.js zostanie zmieniony, obcy kod działa w przeglądarkach wszystkich odwiedzających te strony, także tam, gdzie sama strona jest czysta. Agencja z centralnym Matomo dla wielu klientów ponosi przez to ryzyko dla wszystkich.
Dochodzą dane: protokoły odwiedzin, zależnie od ustawień skrócone lub pełne adresy IP, wyświetlenia stron, dane kampanii i formularzy z wtyczek. Ogólne wskazówki o obowiązkach zgłoszeniowych znajdą Państwo w dziale Compliance; w konkretnym przypadku decyduje Państwa inspektor ochrony danych.
Bezpieczeństwo Matomo: sprawdzanie wersji PHP i archiwizacji
W Administracja > Diagnostyka > Kontrola systemu Matomo pokazuje wersję PHP i sprawdza wymagania, w tym integralność plików programu. Naprawione wersje upstream to 8.5.12, 8.4.27, 8.3.36 i 8.2.35; backporty dystrybucji noszą często starsze numery.
Raporty Matomo generuje w większych instalacjach przez zadanie cron z PHP wiersza poleceń. Ta wersja może różnić się od PHP sieciowego i również musi być załatana. To, które wersje PHP obsługuje Państwa wersja Matomo, można sprawdzić w wymaganiach systemowych na matomo.org.
# Wyświetlenie diagnostyki jak w kontroli systemu, w wierszu poleceń
./console diagnostics:run
# Sprawdzenie daty zmiany plików trackera
ls -l matomo.js piwik.js
Gdzie w Matomo siedzi złośliwy kod
| Miejsce | Zawartość | Punkt kontroli |
|---|---|---|
matomo.js, piwik.js |
Skrypt trackera dla wszystkich stron | Zawartość i data zmiany, kontrola integralności |
config/config.ini.php |
Dane dostępowe do bazy danych, salt, zaufane hosty | Dopisane wartości, po podejrzeniu odnowić dostęp |
plugins/ |
Wtyczki z Marketplace i własne | Nieznane lub zmienione wtyczki |
tmp/ |
Pamięć podręczna, wygenerowane zasoby, skompilowane szablony | Po oczyszczeniu opróżnić |
misc/user/ |
Własne logo i dostosowania | Brak plików PHP |
Niektóre wtyczki zapisują plik trackera od nowa, aby włączyć własne funkcje. Dlatego matomo.js jest na wielu serwerach zapisywalny dla serwera WWW, co czyni go atrakcyjnym dla atakujących. Po podejrzeniu proszę dokładnie sprawdzić zawartość i porównać ją z oryginalnym pakietem Państwa wersji.
Jeśli znajdą Państwo obcy kod w skrypcie trackera, proszę czasowo usunąć kod śledzenia Matomo z podłączonych stron lub zablokować plik. W przeciwnym razie co minutę dostarcza on kod kolejnym odwiedzającym.
Superużytkownicy, tokeny i wtyczki
Superużytkownicy mają w Matomo pełne uprawnienia, także do wtyczek i ustawień systemu. Proszę sprawdzić listę użytkowników pod kątem nieznanych superużytkowników i włączyć uwierzytelnianie dwuskładnikowe, które Matomo zapewnia. Tokeny auth w osobistych ustawieniach bezpieczeństwa umożliwiają dostęp do API bez hasła; po podejrzeniu proszę je odnowić.
Wtyczki z Marketplace rozszerzają Matomo, ale wnoszą własny kod. Proszę zachować tylko to, czego się potrzebuje, i w miarę możliwości ograniczyć dostęp do administracji do znanych sieci. Na podłączonych stronach pomaga Content Security Policy, która dopuszcza skrypty tylko ze znanych źródeł; więcej na ten temat w artykule Nagłówki bezpieczeństwa dla stron internetowych.
Co potrafi aktualizacja Matomo, a czego nie
Aktualizacja Matomo zastępuje pliki programu i zamyka znane błędy. Nie łata PHP, nie restartuje ani PHP-FPM, ani zadań cron archiwizacji i nie usuwa obcych superużytkowników, tokenów ani wtyczek. To, czy przed poprawką dostarczano kod odwiedzającym, nie jest wyjaśniane przez aktualizację; potrzebne są do tego logi od 20.10.2026.
Jeśli Matomo jest oceniane tylko wewnętrznie, administrację można ograniczyć do sieci firmowej, podczas gdy publiczne pozostają wyłącznie punkty końcowe śledzenia. Należą do nich skrypt trackera i punkt końcowy, do którego zgłaszane są odwiedziny; które pliki to w Państwa wersji, ustalają Państwo z operatorem. Dzięki temu powierzchnia ataku interfejsu WWW pozostaje mała. Przed PHP2Shell nie zastępuje to jednak poprawki, ponieważ także punkt końcowy śledzenia działa przez PHP.
Jak konkretnie pomaga PHP SOS?
- Sprawdzamy PHP sieciowe i CLI na Państwa serwerze Matomo oraz prosimy o potwierdzenie poprawki i restartu.
- Zabezpieczamy logi i porównujemy
matomo.jsoraz pliki programu z oryginałem. - Sprawdzamy konfigurację, wtyczki, superużytkowników i tokeny oraz wspólnie z Państwem odnawiamy dostępy.
- W razie dostarczonego złośliwego kodu nasza pomoc awaryjna koordynuje oczyszczanie Matomo i podłączonych stron.
Częste pytania
Dlaczego zhakowany serwer Matomo jest tak niebezpieczny?
Każda śledzona strona ładuje skrypt trackera z serwera Matomo. Jeśli ten plik zostanie zmieniony, obcy kod działa w przeglądarkach wszystkich odwiedzających wszystkie podłączone strony. Pojedynczy serwer analityki staje się w ten sposób dystrybutorem.
Gdzie w Matomo zobaczę wersję PHP?
W Administracja > Diagnostyka > Kontrola systemu. Matomo pokazuje tam wersję PHP i sprawdza dalsze wymagania, także integralność plików. Backportu nie rozpozna się po tym; potwierdza to Państwa operator.
Czy po podejrzeniu muszę odnowić tokeny Matomo?
Tak. Tokeny auth umożliwiają dostęp do API Matomo bez hasła. Proszę je odnowić dla wszystkich użytkowników i wpisać nowe tokeny w podłączonych systemach, takich jak dashboardy lub narzędzia raportowe.