Duas vulnerabilidades críticas no PHP foram divulgadas no dia 21 de outubro de 2026. As falhas podem permitir que atacantes executem código malicioso em servidores afetados sem necessidade de autenticação.
Clientes do Matomo Cloud já estão protegidos e não precisam tomar nenhuma ação.
Usuários do Matomo On-Premise devem atualizar a instalação do PHP imediatamente.
O que aconteceu
A equipe de segurança do PHP divulgou duas vulnerabilidades críticas, ambas classificadas com nota 9,2 de 10 na escala de severidade CVSS:
- CVE-2026-109618: vulnerabilidade de corrupção de memória relacionada ao tratamento de falta de memória (out-of-memory) do PHP.
- CVE-2026-109619: vulnerabilidade envolvendo o gerenciamento de estado interno do PHP, que pode levar a acesso inseguro à memória.
Sob determinadas condições, essas falhas podem permitir que atacantes não autenticados executem código remotamente nos servidores afetados.
As vulnerabilidades afetam o próprio PHP, e não o Matomo especificamente. No entanto, como o Matomo roda em PHP, instalações que usam versões vulneráveis da linguagem podem estar expostas.
Clientes do Matomo Cloud estão protegidos
Quem usa o Matomo Cloud não precisa fazer nada. A infraestrutura do serviço já está protegida contra essas vulnerabilidades, e a equipe do Matomo gerencia a infraestrutura e as atualizações de segurança em nome dos clientes.
Ação necessária para usuários do Matomo On-Premise
Para quem hospeda o Matomo em servidores próprios, a recomendação é atualizar o PHP imediatamente. A equipe do PHP liberou as seguintes atualizações de segurança:
| Versão do PHP | Atualização de segurança |
|---|---|
| PHP 8.5 | 8.5.12 |
| PHP 8.4 | 8.4.27 |
| PHP 8.3 | 8.3.36 |
| PHP 8.2 | 8.2.35 |
Quem roda uma versão mais antiga do PHP deve verificar com o sistema operacional ou o provedor de hospedagem a disponibilidade de patches de segurança, ou migrar para uma versão suportada.
As recomendações do Matomo são:
- Verificar qual versão do PHP o servidor do Matomo está rodando.
- Aplicar imediatamente as atualizações de segurança mais recentes do PHP ou do fornecedor do sistema operacional.
- Confirmar que o servidor web está rodando a versão corrigida do PHP.
Atualizar o Matomo em si não resolve essas vulnerabilidades. As correções de segurança precisam ser aplicadas na instalação do PHP subjacente.
Para mais informações, consulte o advisory oficial de segurança do PHP.
Mantendo o analytics seguro
O Matomo afirma que segurança é uma prioridade e incentiva todos os usuários On-Premise a manter a infraestrutura e as dependências de software atualizadas. Para quem prefere não gerenciar manutenção de servidores, upgrades de PHP e segurança de infraestrutura, o Matomo Cloud oferece uma alternativa totalmente gerenciada.
A equipe do Matomo segue monitorando o cenário e deve compartilhar novas orientações se necessário.
Artigo original: https://matomo.org/blog/2026/10/critical-php-security-vulnerabilities-important-update-for-matomo-users/
Traduzido e adaptado pela Equipe CRO Brasil.