Website Pemerintah Paling Rentan, 70% Server di RI Pakai PHP Usang

Jakarta, CNBC Indonesia - Pakar menyoroti keamanan server web di Indonesia. Hasil pemindaian dari Vaksincom menemukan 69,6% server masih menjalankan PHP versi End of Life (EOL) yang sudah tidak lagi mendapatkan pembaruan keamanan resmi dari pengembang PHP.

PHP adalah bahasa pemrograman yang dipakai di jutaan website, mulai dari toko daring, portal berita, hingga layanan pemerintahan. Dua celah yang ditemukan memungkinkan penyerang mengambil alih kendali server, mengakses basis data, hingga mencuri data sensitif tanpa harus masuk ke sistem secara sah.

Temuan ini muncul di tengah ancaman dua celah keamanan kritis PHP2Shell yang berpotensi memungkinkan peretas mengambil alih server dari jarak jauh tanpa perlu login terlebih dahulu.

Pengamat Keamanan Cyber dari Vaksincom, Alfons Tanujaya, melakukan pemindaian pada 23 Oktober 2026 mendeteksi 89.193 host PHP aktif di Indonesia, dengan total 99.896 kecocokan versi layanan.

Pilihan Redaksi Ekonom: AI Tak Berikan Manfaat Ekonomi Kecuali Bagi Pembuatnya Kejayaan AI Sudah Runtuh di China, Alarm Keras Buat Seluruh Dunia Pengguna iPhone Sudah Bisa Upgrade iOS 27.2, Cek Daftar Fitur Barunya

Dari jumlah tersebut, sebanyak 69.546 kecocokan atau 69,6% menggunakan PHP EOL. Sementara itu, hanya 226 kecocokan atau sekitar 0,2% yang teridentifikasi menggunakan versi dengan perbaikan keamanan. Tujuh dari sepuluh server PHP di Indonesia yang terlihat dari internet tidak dapat ditambal menggunakan patch resmi.

Sektor pemerintahan dan korporasi tercatat memiliki tingkat kerentanan tertinggi terhadap ancaman ini karena tingginya penggunaan versi usang.

"Pada sektor pemerintah dan perusahaan swasta, hampir 97% server menggunakan versi EOL, dengan versi dominan PHP 5.6.40 yang masa dukungannya telah dihentikan sejak akhir 2018," ujar Alfons dalam keterangan resmi, dikutip Selasa (27/10/2026).

Alfons memberikan rekomendasi langkah mitigasi sebagai berikut.

1. Lakukan audit menyeluruh. Segera periksa versi PHP pada seluruh server organisasi, termasuk server intranet yang tidak terekspos langsung ke internet.
2. Tingkatkan versi ke rilis aman terbaru: 8.2.35, 8.3.36, 8.4.27, atau 8.5.12.
3. Rencanakan migrasi bertahap. Sebelum migrasi selesai, pastikan distro Linux menyediakan backported patch, batasi eksposur publik menggunakan WAF/VPN, serta nonaktifkan layanan yang tidak kritikal.
4. Konfigurasikan file php.ini dengan menyetel expose_php = Off untuk meminimalisasi risiko pemindaian massal otomatis oleh botnet.
5. Tinjau log server terhadap lonjakan error kehabisan memori (out of memory) yang berulang, serta terapkan isolasi jaringan ketat agar kompromi pada server web tidak menyebar ke aset penting lainnya.

(dem/dem) [Gambas:Video CNBC]