Am 21. Oktober 2026 hat das PHP-Projekt zwei kritische Sicherheitslücken geschlossen: CVE-2026-109618 und CVE-2026-109619, in Berichten auch „PHP2Shell“ genannt. Beide sind mit 9.2 von 10 Punkten (CVSS 4.0) bewertet und erlauben Angreifern, ohne Anmeldung eigenen Code auf dem Server auszuführen. Wer Matomo selbst betreibt, sollte PHP jetzt aktualisieren und nicht bis zum nächsten Wartungstermin warten.
Was bekannt ist
- Betroffen sind laut PHP alle Installationen, die Webanfragen beantworten: PHP-FPM, Apache mit mod_php, php-cgi, FrankenPHP und LiteSpeed. Am höchsten ist das Risiko bei mod_php.
- Behoben sind die Lücken in PHP 8.5.12, 8.4.27, 8.3.36 und 8.2.35. Linux-Distributionen haben die Korrekturen vorab erhalten und liefern eigene Pakete aus.
- PHP 8.1 und älter bekommen vom PHP-Projekt kein Update mehr. Laut CERT-EU sind alle Versionen bis mindestens PHP 5 verwundbar.
- Das BSI stuft die Lage als orange ein: Maßnahmen müssen unverzüglich ergriffen werden. Es hält eine breite Ausnutzung innerhalb weniger Stunden nach Erscheinen der Patches für wahrscheinlich.
- Öffentliche Exploits gibt es laut RUS-CERT der Universität Stuttgart bereits. Einen davon hat das RUS-CERT auf einem Testsystem nachvollzogen.
Warum Matomo-Server besonders exponiert sind
Matomo ist eine PHP-Anwendung, und ihr Tracking-Endpunkt muss für alle Besucherinnen und Besucher der gemessenen Websites erreichbar sein. Eine Anmeldung gibt es dort nicht, und hinter ein VPN lässt sich der Endpunkt nicht legen, ohne das Tracking abzuschalten. Genau solche Anfragen ohne Login nutzen die Lücken aus.
Dazu kommt, was auf einem Matomo-Server liegt: Rohdaten der Besuche, Zugangsdaten zur Datenbank, API-Token und die Tracking-Dateien. Die Datei matomo.js und die Container des Tag Managers werden auf allen gemessenen Websites geladen. Wer den Server übernimmt, kann sie verändern und so eigenen Code auf all diesen Websites ausführen lassen.
Was jetzt zu tun ist
- Die Version prüfen, die Webanfragen beantwortet.
php -vzeigt nur die Version auf der Kommandozeile, PHP-FPM oder Apache können eine andere nutzen. In Matomo steht die Version unter Administration, System, Systemprüfung. - Aktualisieren. Über die Paketverwaltung Ihrer Distribution, Ihr Hosting-Panel oder einen neuen Build Ihrer Container. Distributionen nutzen eigene Versionsnummern, maßgeblich ist ihr Sicherheitshinweis.
- Dienste neu starten. Laufende PHP-FPM-Prozesse und Apache arbeiten bis zum Neustart mit der alten Version weiter. Danach die Version noch einmal prüfen, auch für den Cronjob der Archivierung.
- Alte PHP-Versionen ablösen. Wer noch PHP 8.1 oder älter einsetzt, bekommt vom PHP-Projekt keine Korrektur. Prüfen Sie vor dem Wechsel, ob Ihre Matomo-Version und Ihre Plugins mit der neuen PHP-Version laufen.
- Spuren prüfen. Die Systemprüfung von Matomo meldet unter Dateiintegrität Dateien, die nicht zur Installation gehören. Prüfen Sie außerdem die Nutzer mit Super-User-Zugriff, neue API-Token, Cronjobs und neue PHP-Dateien im Web-Verzeichnis.
Die Notmaßnahmen aus der PHP-Meldung, etwa ein aufgehobenes Speicherlimit, machen eine Installation laut PHP nicht sicher. Bei Matomo kann ein aufgehobenes Speicherlimit außerdem dazu führen, dass große Berichte den ganzen Server auslasten. Wer nicht sofort aktualisieren kann, sollte den Server bis zum Update vom Netz nehmen. Das kostet Tracking-Daten, ist aber besser als ein übernommener Server.
Bei Verdacht auf einen Angriff gilt: Server isolieren, Logs von Webserver und PHP sichern und erst dann aufräumen.
Betrieb über feinwerk.io
Matomo-Instanzen, die unsere Schwestermarke feinwerk.io betreibt, bekommen Sicherheitsupdates und Patches, sobald sie verfügbar sind. Sie müssen dafür nichts tun. Das gilt auch für Server, die feinwerk.io im Betrieb mit SLA für Sie betreut.
Sie betreiben Matomo selbst und möchten wissen, ob Ihr Server auf dem aktuellen Stand und sauber gehärtet ist? Bei Sicherheit & Härtung prüfe ich PHP, Webserver und Betriebssystem mit, im Matomo-Audit auch Updates und Betrieb.
Quellen
Stand: 21. Oktober 2026