Matomo auto-hébergé : la mise à jour de PHP reste nécessaire

La correction concerne aussi le moteur PHP

La mise à jour de Matomo ne suffit pas à traiter l’alerte. Dans son journal du 22 octobre 2026, l’éditeur rappelle que deux vulnérabilités concernent PHP, le composant sur lequel fonctionne Matomo. Les corrections doivent donc être appliquées à cette installation sous-jacente. Le journal Matomo distingue explicitement les deux opérations.

Ces failles peuvent permettre à une personne non authentifiée d’exécuter du code à distance sur un serveur vulnérable. Les bulletins techniques PHP décrivent notamment une exécution avec les droits du processus qui traite les requêtes web. Avis PHP.

Les installations auto-hébergées doivent être vérifiées

Le public concerné est celui des entreprises qui hébergent Matomo sur leurs serveurs ou font administrer cette installation par un prestataire. La décision à prendre est de demander une vérification de PHP, même si Matomo a déjà été mis à jour.

Exception : les clients Matomo Cloud sont déjà protégés. L’éditeur indique qu’aucune action n’est nécessaire de leur part pour ces deux vulnérabilités. Pour une installation auto-hébergée, il demande aussi de vérifier que le serveur web utilise effectivement la version corrigée après intervention. Consignes Matomo.

Des correctifs disponibles depuis le 21 octobre

Les versions correctives publiées sont PHP 8.2.35, 8.3.36, 8.4.27 et 8.5.12, selon la branche utilisée. Versions corrigées.

Pour PHP 8.1 et les versions antérieures, le projet PHP n’assure plus les mises à jour ordinaires. Certaines distributions et certains fournisseurs de support prolongé proposent toutefois des corrections rétroportées : leur présence doit être confirmée auprès du fournisseur. Bulletin PHP.

Il n’existe pas de date limite administrative : l’équipe PHP recommande une mise à jour immédiate. Elle précise que les mesures temporaires ne constituent pas une protection complète. Annonce officielle.

Les vérifications à confier au responsable technique

• Identifiez si votre service relève de Matomo Cloud ou d’une installation auto-hébergée.
• Demandez quelle version de PHP sert réellement les requêtes de Matomo.
• Faites appliquer les correctifs correspondant à cette branche, ou confirmer leur rétroportage par le fournisseur du système.
• Faites vérifier après l’intervention que le serveur web utilise bien PHP corrigé ; ne clôturez pas le sujet sur la seule mise à jour de Matomo.

Pour le suivi des composants couverts, VCSTS entretient les protections du périmètre confié, notamment leurs mises à jour.