Matomo 5.14.2：修的不是自己，是替站长盯着 PHP 版本

开源网站统计工具 Matomo 在 10 月 22 日发布了 5.14.2。这是一个刻意「单薄」的版本：按官方更新日志，它只处理了两个安全工单，没有新功能，不需要升级数据库。其中一个工单做的事很有意思——如果你的自托管 Matomo 跑在受本周 PHP 严重漏洞影响的版本上，后台会直接弹出警告，想装看不见都不行；另一个工单把出站 HTTPS 用的 CA 证书包（composer/ca-bundle）更新到了 1.6.0。

Matomo 官方在 10 月 21 日的说明里把话说得很直白：这两个编号 CVE-2026-109618、CVE-2026-109619 的漏洞评级 9.2 分，能让未登录的攻击者在服务器上远程执行代码；漏洞在 PHP 本身、不在 Matomo，所以只升 Matomo 不解决问题，自托管用户必须立刻升级 PHP（修复版本见本站的 PHP 紧急安全更新一篇）。Matomo Cloud 的用户则已经由官方处理完毕，无需任何操作。

本站点评：一个统计工具开始替运维站岗，本身就说明了这次 PHP 漏洞的波及面——跑 WordPress、Matomo 这类 PHP 应用的站长，这周请务必把 PHP 版本核对一遍。

相关阅读

• PHP 紧急安全更新：两个 9.2 分漏洞能未登录执行代码，站长今天就升 8.3.36
• Node.js 同日安全更新：Brotli 漏洞可远程执行代码，三条版本线一起升

信息来源：Matomo 官方博客（2026-10-21）与 Clever Cloud 更新日志（2026-10-22）。