Matomo: software-update naar versie 5.14.2

Samenvatting

Matomo 5.14.2 is een beveiligingsrelease, maar de twee kritieke PHP-kwetsbaarheden vereisen ook een aparte PHP-update.

Matomo 5.14.2 brengt beveiligingswaarschuwing

Matomo 5.14.2 is uitgebracht als patchrelease voor het open-source webanalyseplatform. De versie bevat geen grote database-upgrade en blijft platformonafhankelijk. Matomo gebruikt PHP en MySQL en kan via plug-ins worden uitgebreid.

De release verwijst naar twee PHP2Shell-kwetsbaarheden die op 21 oktober 2026 openbaar zijn gemaakt. Beide kwetsbaarheden hebben volgens de bron een ernstscore van 9,2 op 10 en dragen de identificaties CVE-2026-109618 en CVE-2026-109619.

De update van Matomo alleen verhelpt de kwetsbaarheden niet. Beheerders van Matomo On-Premise of een zelf gehoste installatie moeten daarom ook de PHP-versie bijwerken volgens de beveiligingsinstructies van Matomo.

Matomo en PHP-beheer raken de analyseketen

De release laat zien dat de beveiliging van een analyseplatform niet alleen van de applicatieversie afhangt. Matomo draait op PHP en gebruikt MySQL; een kwetsbaarheid in PHP raakt daardoor ook de omgeving waarin webstatistieken worden verzameld en verwerkt.

Voor BI-teams die Matomo-data gebruiken, ligt de aandacht niet alleen bij dashboards of rapportages. De betrouwbaarheid van de bron begint bij een onderhouden applicatie- en runtime-laag. Matomo vormt daarbij een open-source alternatief voor Google Analytics. De meegeleverde plug-ins kunnen worden uitgeschakeld wanneer een installatie bepaalde functies niet nodig heeft.

De combinatie van een patchrelease en een afzonderlijke PHP-update vraagt om controle van de volledige installatie. Alleen het versienummer van Matomo controleren volstaat niet.

Concrete takeaway voor Matomo-beheerders

Werk Matomo bij naar versie 5.14.2 en controleer daarna afzonderlijk welke PHP-versie de installatie gebruikt. Plan de PHP-update volgens de Matomo-beveiligingsrichtlijnen en controleer na afloop of de omgeving nog correcte webanalysegegevens aanlevert. Noteer daarnaast welke plug-ins actief zijn, zodat een updatecontrole niet blijft steken bij alleen de kernsoftware.