Kort sagt: Matomo-säkerhet är efter PHP2Shell mer än en fråga om statistik. En komprometterad Matomo-server kan via spårningsskriptet föra in kod i varje ansluten webbplats. Patcha PHP för webb och arkivering, starta om och kontrollera därefter matomo.js, config.ini.php, superanvändare och auth-token.
Varför Matomo är särskilt viktigt efter PHP2Shell
Många företag, myndigheter och byråer använder Matomo som ett dataskyddsvänligt alternativ till externa analystjänster och driver det själva, ofta på en egen subdomän. Matomo körs på PHP. Sårbarheterna CVE-2026-109618 och CVE-2026-109619 gör det enligt PHP-teamet möjligt att köra skadlig kod på distans utan inloggning, oavsett hur aktuellt Matomo är. Vad som ligger bakom sårbarheterna förklaras i Vad är PHP2Shell?.
Det särskilda med Matomo är räckvidden. Varje spårad webbplats laddar spårningsskriptet från Matomo-servern. Ändras matomo.js körs främmande kod i webbläsaren hos alla besökare på de webbplatserna, även där webbplatsen själv är ren. En byrå med en central Matomo för många kunder bär därmed en risk för alla.
Därtill kommer uppgifterna: besöksloggar, beroende på inställning förkortade eller fullständiga IP-adresser, sidvisningar, kampanj- och formulärdata från plugin. Allmänna råd om anmälningsplikt finns i området Compliance; i det enskilda fallet avgör ert dataskyddsombud.
Matomo-säkerhet: kontrollera PHP-version och arkivering
Under Administration > Diagnostik > Systemkontroll visar Matomo PHP-versionen och kontrollerar förutsättningar, däribland programfilernas integritet. Åtgärdade upstream-versioner är 8.5.12, 8.4.27, 8.3.36 och 8.2.35; distributionernas backports bär ofta äldre nummer.
Rapporterna genereras av Matomo vid större installationer via ett cronjobb med kommandoradens PHP. Den versionen kan avvika från webb-PHP och måste också vara patchad. Vilka PHP-versioner er Matomo-version stöder kontrollerar ni enligt systemkraven på matomo.org.
# Skriv ut diagnostiken som i systemkontrollen på kommandoraden
./console diagnostics:run
# Titta på ändringsdatum för spårningsfilerna
ls -l matomo.js piwik.js
Var skadlig kod sitter i Matomo
| Plats | Innehåll | Kontrollpunkt |
|---|---|---|
matomo.js, piwik.js |
Spårningsskript för alla webbplatser | Innehåll och ändringsdatum, integritetskontroll |
config/config.ini.php |
Databasåtkomst, salt, betrodda värdar | inskjutna värden, förnya åtkomst vid misstanke |
plugins/ |
Plugin från Marketplace och egna | okända eller ändrade plugin |
tmp/ |
Cache, genererade assets, kompilerade mallar | töm efter sanering |
misc/user/ |
egna logotyper och anpassningar | inga PHP-filer |
Vissa plugin skriver om spårningsfilen för att binda in egna funktioner. Därför är matomo.js på många servrar skrivbar för webbservern, vilket gör den attraktiv för angripare. Kontrollera innehållet noga vid misstanke och jämför det med originalpaketet för er version.
Hittar ni främmande kod i spårningsskriptet, ta tillfälligt bort Matomo-spårningskoden från de anslutna webbplatserna eller spärra filen. Varje minut levererar den annars koden till fler besökare.
Superanvändare, token och plugin
Superanvändare har i Matomo fulla rättigheter, även för plugin och systeminställningar. Kontrollera användarlistan med avseende på okända superanvändare och aktivera den tvåfaktorsinloggning som Matomo har med. Auth-token under de personliga säkerhetsinställningarna ger API-åtkomst utan lösenord; förnya dem vid misstanke.
Plugin från Marketplace utökar Matomo men har egen kod. Behåll bara det som behövs och begränsa om möjligt åtkomsten till administrationen till kända nät. På de anslutna webbplatserna hjälper en Content Security Policy som bara tillåter skript från kända källor; mer om detta under Säkerhetshuvuden för webbplatser.
Vad en Matomo-uppdatering klarar och inte klarar
En Matomo-uppdatering ersätter programfilerna och stänger kända fel. Den patchar inte PHP, startar varken om PHP-FPM eller arkiverings-cronjobb och tar inte bort främmande superanvändare, token eller plugin. Om kod levererades till besökare före patchen besvarar en uppdatering inte; för det behövs loggar från och med den 20 oktober 2026.
Utvärderas Matomo bara internt kan administrationen begränsas till företagsnätet medan endast spårningsändpunkterna förblir offentliga. Dit hör spårningsskriptet och den ändpunkt dit besök rapporteras; vilka filer det är i er version fastställer ni tillsammans med er driftansvarige. På så sätt förblir webbgränssnittets angreppsyta liten. Mot PHP2Shell ersätter det dock inte patchen, eftersom även spårningsändpunkten körs via PHP.
Hur hjälper PHP SOS konkret?
- Vi kontrollerar webb- och CLI-PHP på er Matomo-server och låter patch och omstart bekräftas.
- Vi säkrar loggar och jämför
matomo.jsoch programfilerna med originalet. - Vi kontrollerar konfiguration, plugin, superanvändare och token och förnyar åtkomster tillsammans med er.
- Vid levererad skadlig kod samordnar vår akuthjälp saneringen av Matomo och de anslutna webbplatserna.
Vanliga frågor
Varför är en hackad Matomo-server så farlig?
Varje spårad webbplats laddar spårningsskriptet från Matomo-servern. Ändras den filen körs främmande kod i webbläsaren hos alla besökare på alla anslutna webbplatser. En enda analysserver blir på så sätt en distributör.
Var ser jag PHP-versionen i Matomo?
Under Administration > Diagnostik > Systemkontroll. Där visar Matomo PHP-versionen och kontrollerar ytterligare förutsättningar, även filernas integritet. En backport känner ni inte igen på det; det bekräftar er driftansvarige.
Måste jag förnya Matomo-token vid misstanke?
Ja. Auth-token ger åtkomst till Matomos API utan lösenord. Förnya dem för alla användare och för in de nya token i anslutna system som instrumentpaneler eller rapportverktyg.