2026 年 10 月 21 日，影响 PHP 的两个严重安全漏洞于今日披露。这些漏洞可能允许攻击者在无需身份验证的情况下，在受影响的服务器上执行恶意代码。
Matomo Cloud 客户已受到保护，无需采取任何行动。
Matomo On-Premise（本地部署）用户应立即更新其 PHP 安装。
发生了什么？
PHP 安全团队披露了两个严重漏洞，在 CVSS 严重性评分中均为 9.2 / 10：
- CVE-2026-109618： 与 PHP 内存不足（out-of-memory）处理相关的内存损坏漏洞。
- CVE-2026-109619： 涉及 PHP 内部状态管理、可能导致不安全内存访问的漏洞。
在某些条件下，这些漏洞可能允许未经身份验证的攻击者在受影响的服务器上远程执行代码。
这些漏洞影响的是 PHP 本身，而非 Matomo 本身。但由于 Matomo 运行在 PHP 之上，使用受影响 PHP 版本的安装环境可能存在暴露风险。
Matomo Cloud 客户已受保护
如果您使用的是 Matomo Cloud，则无需采取任何行动。
我们的 Cloud 基础设施已针对这些漏洞完成防护，我们的团队会代您管理底层基础设施和安全更新。
这正是使用 Matomo Cloud 的益处之一：关键基础设施安全更新会由我们为您处理，您无需监控 PHP 发布动态，也无需自行维护服务器。
Matomo On-Premise 用户需要采取的行动
如果您在自己的服务器上托管 Matomo，我们强烈建议立即更新 PHP。
PHP 团队已发布以下安全更新：
| PHP 版本 | 安全更新版本 |
|---|
| PHP 8.5 | 8.5.12 |
| PHP 8.4 | 8.4.27 |
| PHP 8.3 | 8.3.36 |
| PHP 8.2 | 8.2.35 |
如果您运行的是较旧的 PHP 版本，请向您的操作系统或托管服务商查询可用的安全补丁，或升级到受支持的版本。
我们建议您：
- 检查您的 Matomo 服务器正在运行的 PHP 版本。
- 立即应用来自 PHP 或您的操作系统供应商的最新安全更新。
- 确认您的 Web 服务器正在运行已打补丁的 PHP 版本。
更新 Matomo 本身并不能修复这些漏洞。 安全修复需要应用到底层的 PHP 安装环境中。
更多信息，请参阅 PHP 官方安全公告。
保障您的分析数据安全
安全是 Matomo 的首要任务。我们鼓励所有 On-Premise 用户保持其基础设施和软件依赖项为最新状态。
如果您更希望不必亲自处理服务器维护、PHP 升级和基础设施安全工作，Matomo Cloud 提供完全托管的替代方案，让您可以专注于分析工作本身。
我们将持续关注事态发展，并在需要时发布进一步指引。