Pakar keamanan siber menyoroti kondisi server web di Indonesia yang sebagian besar masih menjalankan versi PHP usang dan rentan terhadap peretasan. Hasil pemindaian Vaksincom menunjukkan bahwa sebanyak 69,6 persen server di Tanah Air memakai PHP versi End of Life (EOL) yang tidak lagi mendapat pembaruan keamanan resmi.
Temuan Kerentanan PHP di Server Indonesia
Bahasa pemrograman PHP banyak digunakan untuk membangun jutaan situs web mulai dari toko daring, portal berita, hingga layanan pemerintahan. Situasi ini diperparah dengan adanya ancaman dua celah keamanan kritis PHP2Shell yang memungkinkan peretas menguasai server dari jarak jauh tanpa harus melalui proses masuk sistem terlebih dahulu.
Pengamat Keamanan Cyber dari Vaksincom, Alfons Tanujaya, mendeteksi 89.193 host PHP aktif di Indonesia dengan total 99.896 kecocokan versi layanan berdasarkan pemindaian yang dilakukan pada 23 Oktober 2026. Dari angka tersebut, sejumlah 69.546 kecocokan atau 69,6 persen menggunakan versi PHP EOL, sedangkan hanya 226 kecocokan atau sekitar 0,2 persen yang memakai versi dengan perbaikan keamanan. Berdasarkan data tersebut, tujuh dari sepuluh server PHP yang terlihat dari internet tidak dapat ditambal dengan pembaruan resmi.
Sektor Pemerintahan Paling Terdampak
Sektor pemerintahan serta korporasi swasta tercatat memiliki tingkat kerentanan paling tinggi akibat dominasi penggunaan versi PHP yang sudah kadaluarsa. Hampir 97 persen server di sektor pemerintah dan perusahaan swasta menggunakan versi EOL, dengan versi yang paling mendominasi adalah PHP 5.6.40 yang masa dukungannya sudah berakhir sejak akhir tahun 2018.
Guna mengatasi celah keamanan tersebut, Alfons memaparkan sejumlah rekomendasi langkah mitigasi bagi organisasi. Organisasi diminta segera melakukan audit menyeluruh untuk memeriksa versi PHP pada seluruh server, termasuk server intranet yang tidak terpapar langsung ke internet, serta meningkatkan versi ke rilis aman terbaru seperti 8.2.35, 8.3.36, 8.4.27, atau 8.5.12.
Selain itu, pengelola server disarankan merencanakan migrasi bertahap sambil memastikan distro Linux menyediakan backported patch, membatasi eksposur publik dengan WAF atau VPN, serta menonaktifkan layanan yang tidak kritikal. Langkah pengamanan lain meliputi pengaturan file php.ini dengan menyetel expose_php = Off guna memperkecil risiko pemindaian massal otomatis oleh botnet, serta meninjau log server terhadap lonjakan error kehabisan memori yang berulang sembari menerapkan isolasi jaringan ketat agar peretasan tidak menyebar ke aset lain.
