7 dari 10 Server PHP Indonesia Terancam, Ini Penyebabnya

Harianjogja.com, JOGJA—Hampir tujuh dari 10 host berbasis PHP yang terdeteksi di internet Indonesia menggunakan versi perangkat lunak yang sudah kedaluwarsa. Temuan pemindaian Vaksincom per 23 Oktober 2026 ini menjadi sorotan di tengah ancaman celah keamanan kritis PHP2Shell yang berpotensi memungkinkan peretas menjalankan kode dari jarak jauh.

Dalam laporan Vaksincom yang disampaikan pada Senin (26/10/2026), sebanyak 69,6% kecocokan versi PHP yang terdeteksi masuk kategori End of Life (EOL). Artinya, versi tersebut tidak lagi memperoleh pembaruan keamanan resmi dari pengembang PHP.

Dari 89.193 host PHP aktif yang terdeteksi di Indonesia, Vaksincom mencatat 69.546 kecocokan versi EOL. Sementara itu, hanya 226 kecocokan versi atau sekitar 0,2% yang teridentifikasi telah menggunakan versi perbaikan untuk menangani PHP2Shell.

Celah keamanan tersebut mendapat skor keparahan 9,2 dari 10 berdasarkan CVSS. Kerentanan yang dikenal dengan nama PHP2Shell itu memungkinkan eksekusi kode jarak jauh (remote code execution atau RCE) tanpa autentikasi pada sistem yang terdampak dan memenuhi kondisi eksploitasi.

Kondisi ini membuat pengelola situs web, server perusahaan, hingga sistem layanan publik perlu memeriksa versi PHP yang digunakan. Penggunaan versi lama tidak otomatis membuktikan sebuah server telah diretas, tetapi dapat membuat sistem lebih sulit diamankan karena tidak lagi menerima pembaruan resmi.

Server Pemerintah dan Perusahaan Paling Disorot

Data Vaksincom menunjukkan tingginya penggunaan PHP EOL pada server dengan domain pemerintahan dan perusahaan swasta. Pada domain .go.id dan .co.id, sebanyak 96,7% kecocokan versi PHP yang berhasil diidentifikasi masih menggunakan versi EOL.

Versi PHP 5.6.40 menjadi salah satu versi lama yang banyak ditemukan pada kedua sektor tersebut. Dukungan keamanan resmi untuk versi ini telah berakhir pada 31 Desember 2018.

Risiko serupa juga terlihat pada institusi pendidikan. Vaksincom mencatat penggunaan versi EOL mencapai 88,7% pada domain perguruan tinggi .ac.id dan 69,9% pada domain sekolah .sch.id.

Temuan tersebut memperlihatkan bahwa persoalan pembaruan perangkat lunak tidak hanya berkaitan dengan ketersediaan versi baru. Pengelola sistem juga perlu mempertimbangkan kompatibilitas aplikasi, biaya migrasi, dan potensi gangguan terhadap layanan yang masih berjalan.

PHP Versi Lama Masih Banyak Digunakan

Daftar versi PHP yang paling banyak terdeteksi di Indonesia didominasi oleh perangkat lunak yang membutuhkan pembaruan. PHP 8.2.12 tercatat sebanyak 8.988 kecocokan, disusul PHP 5.6.40 dengan 6.598 kecocokan dan PHP 7.4.33 dengan 4.965 kecocokan.

PHP 8.2.12 masih berada pada cabang yang didukung, tetapi versinya belum memuat perbaikan PHP2Shell. Adapun PHP 5.6.40 dan PHP 7.4.33 telah berstatus EOL sehingga tidak lagi memperoleh pembaruan keamanan reguler dari proyek PHP.

Pakar keamanan siber Vaksincom, Alfons Tanujaya, menilai persoalan utama yang dihadapi pengelola server adalah ketergantungan pada aplikasi lama atau legacy system. Aplikasi tersebut belum tentu dapat langsung berjalan dengan baik jika versi PHP diganti ke versi yang lebih baru.

"Mengubah versi PHP pada sistem lama sering kali menuntut perombakan total pada struktur kode aplikasi agar cocok dengan lingkungan PHP modern," ujarnya.

Alfons juga menilai banyaknya temuan versi PHP tertentu mengindikasikan bahwa sebagian server publik kemungkinan dipasang menggunakan paket instalasi instan seperti XAMPP. Padahal, paket tersebut dirancang terutama untuk pengembangan dan pengujian aplikasi, bukan untuk server produksi yang terbuka ke internet.

Langkah untuk Mengurangi Risiko PHP2Shell

Pengelola infrastruktur teknologi informasi perlu segera memeriksa sistem yang digunakan dan menentukan prioritas penanganan berdasarkan tingkat paparan serta kondisi perangkat lunak. Beberapa langkah yang dapat dilakukan antara lain:

1. Audit seluruh instalasi PHP. Periksa versi PHP yang berjalan pada server publik maupun jaringan internal. Pemeriksaan perlu mencakup layanan web, bukan hanya versi PHP pada terminal atau lingkungan pengembangan.

2. Pasang pembaruan keamanan. Untuk cabang PHP yang masih didukung, versi perbaikan yang tercantum dalam advisori adalah PHP 8.2.35, 8.3.36, 8.4.27, dan 8.5.12. Pengelola perlu mengikuti panduan resmi dari pengembang PHP atau vendor sistem yang digunakan.

3. Rencanakan migrasi sistem EOL. Server yang menggunakan versi lama perlu dipindahkan ke lingkungan yang didukung. Jika migrasi belum dapat dilakukan, batasi paparan jaringan dan gunakan mitigasi tambahan yang sesuai dengan rekomendasi vendor. Perlindungan tambahan tidak menggantikan kebutuhan memperbaiki atau mengganti sistem yang rentan.

4. Batasi akses dan perkuat pemantauan. Penggunaan VPN, firewall aplikasi web (WAF), segmentasi jaringan, serta pemantauan log dapat membantu mengurangi paparan dan mendeteksi aktivitas mencurigakan. Pengaturan expose_php = Off dapat menyamarkan informasi versi PHP dari header tertentu, tetapi tidak memperbaiki kerentanan.

5. Periksa kemungkinan kompromi. Selain memasang pembaruan, administrator perlu memeriksa log, akun, proses, dan aktivitas jaringan yang tidak biasa. Jika terdapat indikasi server telah diambil alih, lakukan penanganan insiden dan pemulihan dengan prosedur keamanan yang sesuai.

Vaksincom menyatakan daftar spesifik instansi atau domain yang dinilai rentan tidak dipublikasikan dan telah dikoordinasikan secara tertutup bersama Badan Siber dan Sandi Negara (BSSN).

Temuan ini menjadi pengingat bahwa pembaruan keamanan perlu menjadi bagian dari pemeliharaan rutin sistem digital. Bagi organisasi yang masih menjalankan aplikasi lama, audit dan rencana migrasi menjadi langkah penting untuk mengurangi risiko gangguan layanan maupun kebocoran data.

 

Cek Berita dan Artikel yang lain di Harian Jogja, dan edisi cetak versi elektronik kami hadir di Epaper Harian Jogja.