JAKARTA, NortonNews.com – Keamanan situs web milik pemerintah dan perusahaan di Indonesia menjadi perhatian setelah riset terbaru menemukan tingginya penggunaan bahasa pemrograman PHP versi lama yang sudah tidak memperoleh dukungan keamanan resmi. Kondisi ini berpotensi meningkatkan risiko serangan siber, terutama setelah munculnya kerentanan kritis yang dikenal dengan nama PHP2Shell.
Di lansir dari CNN Indonesia – Senin (26/10/2026), laporan yang disampaikan perusahaan keamanan siber Vaksincom menunjukkan bahwa sebanyak 69,6 persen kecocokan versi PHP yang terdeteksi pada server di Indonesia masih menggunakan versi yang telah mencapai status End of Life (EOL). Status tersebut berarti versi perangkat lunak sudah melewati masa dukungan resmi sehingga tidak lagi menerima pembaruan keamanan rutin dari pengembangnya.
Temuan tersebut menjadi perhatian karena PHP merupakan salah satu bahasa pemrograman yang banyak digunakan untuk membangun dan menjalankan situs web. Apabila sistem yang menggunakan PHP tidak diperbarui dan memiliki celah keamanan, penyerang berpotensi memanfaatkan kelemahan tersebut untuk mengganggu layanan, mengakses informasi sensitif, hingga mengambil alih server yang terdampak.
Hasil pemindaian Vaksincom pada 23 Oktober 2026 mencatat sebanyak 89.193 host PHP aktif di Indonesia. Dari pemeriksaan tersebut, terdapat 99.896 kecocokan versi layanan yang berhasil diidentifikasi. Sebanyak 69.546 kecocokan atau sekitar 69,6 persen di antaranya menggunakan PHP versi EOL.
Sementara itu, hanya 226 kecocokan atau sekitar 0,2 persen yang teridentifikasi menggunakan versi dengan perbaikan keamanan yang berkaitan dengan persoalan tersebut. Angka ini menunjukkan perlunya perhatian lebih besar terhadap pemeliharaan sistem digital, khususnya pada organisasi yang mengoperasikan banyak situs dan layanan berbasis web.
Situs Pemerintah dan Perusahaan Menjadi Perhatian
Salah satu temuan yang menonjol adalah tingginya penggunaan PHP versi usang pada situs pemerintah dan perusahaan swasta. Berdasarkan pemindaian Vaksincom, kedua sektor tersebut sama-sama mencatat sekitar 96,7 persen kecocokan versi PHP berstatus EOL.
Pada sektor pemerintahan dengan domain berakhiran .go.id, terdapat 2.072 host yang terdeteksi. Dari jumlah tersebut, sebanyak 1.677 kecocokan versi PHP berhasil dibaca. Sebanyak 1.621 kecocokan atau sekitar 96,7 persen masih menggunakan versi yang telah berakhir masa dukungannya.
Kondisi serupa ditemukan pada sektor perusahaan dengan domain .co.id. Dari 5.246 host yang terdeteksi, terdapat 4.650 kecocokan versi PHP yang berhasil diidentifikasi. Sebanyak 4.495 kecocokan atau sekitar 96,7 persen di antaranya menggunakan versi EOL.
Data tersebut memperlihatkan bahwa persoalan pembaruan perangkat lunak bukan hanya terjadi pada satu jenis organisasi. Instansi pemerintahan dan perusahaan sama-sama menghadapi tantangan dalam menjaga agar infrastruktur digital mereka tetap menggunakan teknologi yang memperoleh dukungan keamanan.
Risiko juga ditemukan pada sektor pendidikan. Pemindaian terhadap perguruan tinggi dengan domain .ac.id menunjukkan sebanyak 439 dari 495 kecocokan versi PHP, atau sekitar 88,7 persen, termasuk kategori EOL. Sementara itu, pada domain sekolah .sch.id, terdapat 51 dari 73 kecocokan versi PHP atau sekitar 69,9 persen yang menggunakan versi usang.
Temuan ini menjadi pengingat bahwa lembaga pendidikan juga perlu memperhatikan keamanan situs dan aplikasi digital yang digunakan untuk memberikan informasi maupun menjalankan layanan administrasi.
PHP Versi Lama Menyulitkan Proses Pembaruan
Pengamat keamanan siber dari Vaksincom, Alfons Tanujaya, menyoroti persoalan penggunaan PHP lama yang masih ditemukan di berbagai organisasi. Salah satu versi yang banyak teridentifikasi adalah PHP 5.6.40, yang masa dukungan keamanan resminya telah berakhir sejak 2018.
Penggunaan versi lama dapat menimbulkan persoalan ketika ditemukan kerentanan baru. Pengelola sistem tidak selalu dapat memperoleh pembaruan keamanan resmi untuk perangkat lunak yang sudah tidak didukung. Akibatnya, mereka perlu mencari solusi lain, seperti melakukan migrasi ke versi yang lebih baru atau menggunakan tambalan keamanan yang disediakan oleh pihak yang berwenang.
Namun, proses pembaruan tidak selalu mudah dilakukan. Banyak organisasi masih mengoperasikan aplikasi lama atau legacy system yang dibuat menggunakan struktur kode dan teknologi dari generasi sebelumnya.
Aplikasi tersebut mungkin bergantung pada pustaka, fungsi, atau komponen tertentu yang tidak lagi kompatibel dengan PHP versi modern. Karena itu, memperbarui bahasa pemrograman saja belum tentu cukup. Pengelola bisa perlu melakukan pengujian, memperbaiki kode, menyesuaikan konfigurasi, dan memastikan seluruh fungsi aplikasi tetap berjalan dengan baik setelah migrasi.
Situasi tersebut dapat membuat organisasi menunda pembaruan karena khawatir layanan mengalami gangguan. Akan tetapi, penundaan tanpa mitigasi yang memadai justru dapat memperpanjang periode ketika sistem berada dalam kondisi berisiko.
Persoalan lainnya berkaitan dengan penggunaan paket instalasi yang biasanya dirancang untuk kebutuhan pengembangan. Vaksincom menyoroti tingginya temuan PHP 8.2.12 yang mengindikasikan bahwa sebagian server publik mungkin menggunakan paket instalasi lokal instan, seperti XAMPP.
Paket tersebut dapat membantu pengembang menguji aplikasi dalam lingkungan pengembangan. Namun, penggunaannya pada server produksi yang terbuka langsung ke internet perlu ditinjau secara hati-hati. Konfigurasi untuk pengembangan tidak selalu sesuai dengan kebutuhan keamanan sistem yang melayani masyarakat atau pelanggan secara langsung.
PHP2Shell Menjadi Ancaman Keamanan Kritis
Persoalan PHP versi lama semakin mendapat perhatian setelah munculnya kerentanan yang dikenal sebagai PHP2Shell. Kerentanan ini berkaitan dengan dua identitas celah keamanan, yaitu CVE-2026-109618 dan CVE-2026-109619.
Kedua celah tersebut dilaporkan memiliki skor keparahan 9,2 dari skala maksimal 10 berdasarkan sistem penilaian CVSS 4.0. Nilai tersebut menunjukkan tingkat risiko yang tinggi dan memerlukan penanganan serius dari pengelola sistem yang terdampak.
PHP2Shell berpotensi memungkinkan terjadinya remote code execution atau RCE. Istilah ini merujuk pada kondisi ketika penyerang dapat menjalankan kode dari jarak jauh pada sistem yang memiliki kerentanan. Dalam skenario tertentu, eksploitasi yang berhasil dapat mengancam keamanan server dan data yang dikelolanya.
Dampaknya dapat meluas apabila server yang berhasil ditembus memiliki akses ke informasi penting atau terhubung dengan sistem internal lainnya. Penyerang berpotensi mengganggu ketersediaan layanan, mengakses data yang tidak semestinya, atau memanfaatkan server yang telah dikompromikan sebagai titik masuk untuk menyerang sistem lain.
Meski demikian, keberadaan versi PHP lama tidak secara otomatis membuktikan bahwa sebuah situs telah diretas. Tingkat risiko aktual bergantung pada versi dan konfigurasi yang digunakan, keberadaan tambalan keamanan, paparan layanan ke jaringan, serta langkah perlindungan tambahan yang diterapkan oleh pengelola.
Oleh karena itu, temuan mengenai versi EOL perlu dipahami sebagai indikator risiko yang harus ditindaklanjuti melalui pemeriksaan teknis. Penilaian terhadap setiap server tetap perlu dilakukan secara langsung oleh administrator atau tim keamanan yang berwenang.
Langkah yang Perlu Dilakukan Pengelola Situs
Untuk mengurangi risiko, Vaksincom menyarankan pengelola teknologi informasi melakukan audit terhadap seluruh versi PHP yang digunakan organisasi. Pemeriksaan tersebut sebaiknya mencakup server yang dapat diakses publik maupun sistem internal yang digunakan untuk menjalankan aktivitas operasional.
Pengelola perlu mengidentifikasi versi PHP, memeriksa konfigurasi, memastikan ketersediaan tambalan keamanan, serta menentukan sistem mana yang harus mendapatkan prioritas pembaruan. Server yang masih menggunakan versi aktif perlu diperbarui ke rilis aman yang sesuai, sedangkan sistem dengan versi EOL perlu dimasukkan ke dalam rencana migrasi.
Bagi pengelola yang masih menggunakan PHP 8.2 hingga 8.5, laporan Vaksincom menyarankan pembaruan ke rilis yang telah memperoleh perbaikan keamanan. Versi yang disebutkan dalam laporan tersebut meliputi PHP 8.2.35, 8.3.36, 8.4.27, dan 8.5.12. Pengelola tetap perlu memeriksa dokumentasi resmi dan memastikan versi yang dipasang sesuai dengan lingkungan sistem yang digunakan.
Sementara itu, organisasi yang masih menggunakan PHP 5.x hingga 8.1 disarankan menyusun migrasi secara bertahap. Sebelum migrasi selesai, pengelola perlu memastikan apakah distribusi Linux atau penyedia perangkat lunak mereka menyediakan backported patch, yaitu perbaikan keamanan yang diterapkan pada paket lama tanpa harus selalu mengganti nomor versi utama.
Pengelola juga dapat membatasi akses ke server publik menggunakan Web Application Firewall (WAF) atau jaringan privat virtual (VPN), sesuai kebutuhan layanan. Layanan yang tidak diperlukan sebaiknya dinonaktifkan agar tidak memperluas permukaan serangan.
Langkah tambahan yang dapat dilakukan meliputi meninjau konfigurasi PHP, menyembunyikan informasi versi melalui pengaturan expose_php = Off, memantau catatan aktivitas atau log server, serta menerapkan segmentasi jaringan. Pengaturan tersebut bukan pengganti pembaruan keamanan, tetapi dapat menjadi bagian dari strategi perlindungan yang lebih menyeluruh.
Data Pemindaian Tidak Selalu Menggambarkan Seluruh Kondisi Server
Vaksincom juga mengingatkan bahwa data hasil pemindaian perlu dibaca secara cermat. Jumlah kecocokan versi yang ditemukan dari internet tidak selalu sama dengan jumlah server fisik atau organisasi yang terdampak. Satu host dapat menghasilkan lebih dari satu kecocokan layanan, sehingga angka dalam laporan harus dipahami berdasarkan metode pengukuran yang digunakan.
Selain itu, server yang menampilkan nomor versi lama belum tentu sepenuhnya tidak terlindungi. Sejumlah distribusi Linux dapat menerapkan perbaikan keamanan melalui mekanisme backporting tanpa mengubah nomor versi perangkat lunak yang terlihat dari luar.
Sebaliknya, server yang tidak memperlihatkan informasi versinya juga tidak otomatis aman. Pemeriksaan internal tetap diperlukan untuk memastikan bahwa perangkat lunak telah mendapatkan pembaruan yang sesuai dan tidak memiliki konfigurasi yang berisiko.
Server yang berada di balik layanan perlindungan seperti content delivery network (CDN) atau reverse proxy juga dapat tidak teridentifikasi secara langsung melalui pemindaian publik. Oleh sebab itu, hasil pemindaian tidak dapat dianggap sebagai gambaran mutlak seluruh infrastruktur digital di Indonesia.
Untuk menjaga etika keamanan siber, Vaksincom tidak memublikasikan daftar lengkap domain atau instansi yang terindikasi rentan. Informasi terkait temuan tersebut dikoordinasikan secara tertutup dengan pihak yang berkepentingan, termasuk Badan Siber dan Sandi Negara (BSSN), agar penanganan dapat dilakukan tanpa memperbesar risiko penyalahgunaan.
Temuan ini menjadi peringatan bagi pemerintah, perusahaan, dan lembaga pendidikan agar tidak mengabaikan pemeliharaan sistem digital. Pembaruan perangkat lunak, pemeriksaan keamanan secara berkala, serta perencanaan migrasi aplikasi lama perlu menjadi bagian dari pengelolaan teknologi informasi.
Dengan langkah penanganan yang tepat, risiko eksploitasi dapat dikurangi dan layanan digital dapat tetap berjalan dengan lebih aman. Di tengah meningkatnya ketergantungan terhadap situs web dan aplikasi daring, keamanan sistem bukan sekadar persoalan teknis, melainkan juga bagian penting dari perlindungan data dan kepercayaan masyarakat.
You must be logged in to post a comment Login