Stručne: Bezpečnosť Matomo je po PHP2Shell viac než otázka štatistiky. Kompromitovaný server Matomo môže cez skript trackera zavliecť kód do každého pripojeného webu. Záplatujte PHP pre web aj archiváciu, reštartujte a potom skontrolujte matomo.js, config.ini.php, Superuser a tokeny auth.
Prečo Matomo po PHP2Shell obzvlášť záleží
Mnohé firmy, úrady a agentúry používajú Matomo ako alternatívu k externým analytickým službám priaznivú pre ochranu údajov a prevádzkujú ho samy, často na vlastnej subdoméne. Matomo beží na PHP. Zraniteľnosti CVE-2026-109618 a CVE-2026-109619 podľa tímu PHP umožňujú spustenie škodlivého kódu na diaľku bez prihlásenia, bez ohľadu na to, ako aktuálne je Matomo. Čo za zraniteľnosťami stojí, vysvetľuje stránka Čo je PHP2Shell?.
Zvláštnosťou Matomo je dosah. Každý sledovaný web načítava skript trackera zo servera Matomo. Ak sa matomo.js zmení, beží cudzí kód v prehliadači všetkých návštevníkov týchto webov, aj tam, kde je samotný web čistý. Agentúra s centrálnym Matomo pre mnohých zákazníkov tak nesie riziko za všetkých.
K tomu pristupujú údaje: záznamy návštev, podľa nastavenia skrátené alebo úplné adresy IP, zobrazenia stránok, údaje o kampaniach a formulároch z pluginov. Všeobecné informácie o oznamovacích povinnostiach nájdete v oblasti Compliance; v konkrétnom prípade rozhodne vaša zodpovedná osoba za ochranu údajov.
Bezpečnosť Matomo: skontrolovať verziu PHP a archiváciu
Pod Administrácia > Diagnostika > Kontrola systému zobrazuje Matomo verziu PHP a kontroluje predpoklady, vrátane integrity súborov programu. Opravené upstream verzie sú 8.5.12, 8.4.27, 8.3.36 a 8.2.35; backporty distribúcií často nesú staršie čísla.
Reporty vytvára Matomo pri väčších inštaláciách cez cron úlohu s PHP z príkazového riadku. Táto verzia sa môže líšiť od webového PHP a musí byť tiež záplatovaná. Ktoré verzie PHP vaša verzia Matomo podporuje, skontrolujte podľa systémových požiadaviek na matomo.org.
# Vypísať diagnostiku ako v kontrole systému v príkazovom riadku
./console diagnostics:run
# Pozrieť dátum zmeny súborov trackera
ls -l matomo.js piwik.js
Kde sa škodlivý kód v Matomo nachádza
| Miesto | Obsah | Bod kontroly |
|---|---|---|
matomo.js, piwik.js |
Skript trackera pre všetky weby | Obsah a dátum zmeny, kontrola integrity |
config/config.ini.php |
Prístup k databáze, salt, dôveryhodní hostitelia | Vložené hodnoty, prístup pri podozrení obnoviť |
plugins/ |
Pluginy z Marketplace a vlastné | Neznáme alebo zmenené pluginy |
tmp/ |
Cache, vygenerované assety, skompilované šablóny | Po vyčistení vyprázdniť |
misc/user/ |
Vlastné logá a úpravy | Žiadne súbory PHP |
Niektoré pluginy prepisujú súbor trackera, aby zapojili vlastné funkcie. Preto je matomo.js na mnohých serveroch zapisovateľný pre webový server, čo ho robí atraktívnym pre útočníkov. Pri podozrení jeho obsah dôkladne skontrolujte a porovnajte ho s originálnym balíkom svojej verzie.
Ak nájdete v skripte trackera cudzí kód, dočasne odstráňte sledovací kód Matomo z pripojených webov alebo súbor zablokujte. Každú minútu inak ďalej doručuje kód ďalším návštevníkom.
Superuser, tokeny a pluginy
Superuser majú v Matomo plné práva, aj pre pluginy a systémové nastavenia. Skontrolujte zoznam používateľov na neznámych Superuser a aktivujte dvojfaktorové prihlásenie, ktoré Matomo prináša. Tokeny auth v osobných bezpečnostných nastaveniach umožňujú prístup k API bez hesla; pri podozrení ich obnovte.
Pluginy z Marketplace rozširujú Matomo, no prinášajú vlastný kód. Ponechajte len to, čo sa potrebuje, a prístup do administrácie, ak je to možné, obmedzte na známe siete. Na pripojených weboch pomáha Content Security Policy, ktorá povoľuje skripty iba zo známych zdrojov; viac na stránke Bezpečnostné hlavičky pre weby.
Čo aktualizácia Matomo dokáže a čo nie
Aktualizácia Matomo nahradí súbory programu a uzatvorí známe chyby. PHP nezáplatuje, nereštartuje ani PHP-FPM, ani archivačné cron úlohy a neodstráni cudzích Superuser, tokeny ani pluginy. Či sa pred záplatou návštevníkom doručoval kód, aktualizácia nezodpovie; na to sú potrebné logy od 20. 10. 2026.
Ak sa Matomo vyhodnocuje len interne, dá sa administrácia obmedziť na firemnú sieť, kým verejné zostanú iba koncové body sledovania. Patrí k nim skript trackera a koncový bod, na ktorý sa hlásia návštevy; ktoré súbory to vo vašej verzii sú, stanovíte so svojím prevádzkovateľom. Plocha útoku webového rozhrania tak zostane malá. Proti PHP2Shell to záplatu nenahrádza, pretože aj koncový bod sledovania beží cez PHP.
Ako konkrétne pomáha PHP SOS?
- Kontrolujeme webové a CLI PHP vášho servera Matomo a necháme si potvrdiť záplatu a reštart.
- Zálohujeme logy a porovnávame
matomo.jsa súbory programu s originálom. - Kontrolujeme konfiguráciu, pluginy, Superuser a tokeny a prístupy s vami obnovíme.
- Pri doručenom škodlivom kóde koordinuje naša núdzová pomoc vyčistenie Matomo aj pripojených webov.
Časté otázky
Prečo je napadnutý server Matomo taký nebezpečný?
Každý sledovaný web načítava skript trackera zo servera Matomo. Ak sa tento súbor zmení, beží cudzí kód v prehliadači všetkých návštevníkov všetkých pripojených webov. Jediný analytický server sa tak stane distribútorom.
Kde v Matomo vidím verziu PHP?
Pod Administrácia > Diagnostika > Kontrola systému. Matomo tam zobrazuje verziu PHP a kontroluje ďalšie predpoklady, aj integritu súborov. Backport z toho nepoznáte; potvrdí ho váš prevádzkovateľ.
Musím pri podozrení obnoviť tokeny Matomo?
Áno. Tokeny auth umožňujú prístup k API Matomo bez hesla. Obnovte ich pre všetkých používateľov a nové tokeny zapíšte do pripojených systémov, ako sú dashboardy alebo nástroje na reporty.