Daftar Isi
Perusahaan keamanan siber Vaksincom merilis laporan pemetaan yang menyatakan mayoritas server di Indonesia rentan terhadap celah keamanan PHP. Server milik instansi pemerintah dan korporasi disebut menjadi sektor dengan kerentanan tertinggi imbas penggunaan versi PHP yang sudah lawas.
Temuan Pemetaan Server PHP di Indonesia
Berdasarkan hasil pemindaian komprehensif terhadap server di Indonesia yang terhubung langsung ke internet per 23 Oktober 2026, seperti dilaporkan CNN Indonesia, Vaksincom mencatat sebanyak 89.193 host PHP terdeteksi aktif. Dari total 99.896 kecocokan versi, laporan menemukan sebanyak 69,6 persen server di Indonesia masih menjalankan PHP versi End of Life (EOL) yang tidak lagi mendapatkan pembaruan keamanan resmi dari pengembang.
Temuan ini menyebut sebanyak 30.124 kecocokan lainnya memakai versi yang masih didukung, tetapi belum menerapkan patch keamanan. Sementara itu, server yang sudah mengaplikasikan patch perbaikan terbaru hanya mencakup 226 host atau sebesar 0,2 persen.
Sektor pemerintahan dan korporasi tercatat memiliki tingkat kerentanan tertinggi terhadap ancaman ini karena masih menggunakan versi PHP lama. Pada sektor pemerintah dengan domain .go.id, sebanyak 1.621 dari 1.677 host menggunakan PHP versi EOL atau sebesar 96,7 persen. Proporsi serupa ditemukan di sektor perusahaan berdomain .co.id, di mana 4.495 dari 4.650 host terbaca menggunakan PHP versi EOL, dengan kedua sektor tersebut paling banyak memakai versi PHP 5.6.40 yang masa dukungannya berakhir sejak 2018.
Sementara itu, sektor pendidikan seperti perguruan tinggi (.ac.id) mencatat 439 dari 495 host menggunakan versi PHP EOL atau sebesar 88,7 persen. Untuk tingkat sekolah (.sch.id), terdapat 51 dari 73 host atau 69,9 persen yang membaca versi PHP EOL, di mana kedua sektor pendidikan ini paling banyak menggunakan versi PHP 7.4.33.
Daftar Versi PHP dan Risiko Keamanan
Laporan tersebut turut mengungkap sepuluh versi PHP terbanyak di Indonesia, yang meliputi PHP 8.2.12, PHP 5.6.40, PHP 7.4.33, PHP 5.6.19, PHP 8.2.28, PHP 8.2.47, PHP 7.2.22, PHP 5.4.16, PHP 7.4.29, dan PHP 7.2.14. Berdasarkan daftar itu, tujuh dari sepuluh versi berstatus EOL, sementara tiga versi lainnya masih rentan dan perlu diperbarui ke versi 8.2.35.
Pakar keamanan siber Vaksincom, Alfons Tanujaya, menjelaskan bahwa sektor pemerintahan dan korporasi menduduki tingkat kerentanan tertinggi akibat tingginya penggunaan versi usang. Menurut laporan, kerentanan ini memungkinkan penyerang siber mengambil alih server PHP secara penuh lewat eksekusi kode jarak jauh tanpa memerlukan otentikasi atau login.
Vaksincom menilai tantangan utama bukan sekadar pembaruan versi, melainkan kompatibilitas aplikasi warisan yang memerlukan perombakan kode agar dapat berjalan pada PHP 8. Selain itu, tingginya temuan PHP 8.2.12 mengindikasikan banyak server publik terpasang menggunakan paket instalasi lokal seperti XAMPP yang dirancang untuk tahap pengembangan, bukan untuk server produksi yang terbuka ke internet.
Rekomendasi Langkah Mitigasi Server
Vaksincom memberikan sejumlah rekomendasi mitigasi yang dapat dilakukan oleh administrator server, mulai dari audit menyeluruh terhadap versi PHP pada seluruh server organisasi hingga memperbarui cabang aktif ke rilis aman terbaru yaitu 8.2.35, 8.3.36, 8.4.27, atau 8.5.12.
Administrator juga disarankan merencanakan migrasi bertahap untuk sistem EOL dari PHP 5.x hingga 8.1. Sebelum migrasi selesai, pastikan distribusi Linux menyediakan backported patch, membatasi eksposur publik melalui WAF atau VPN, serta menonaktifkan layanan yang tidak kritikal.
Langkah mitigasi lainnya mencakup pengaturan expose_php=off pada php.ini guna meminimalkan risiko pemindaian massal otomatis oleh botnet. Administrator juga diminta melakukan tinjauan log server terhadap lonjakan error kehabisan memori yang berulang serta menerapkan isolasi jaringan ketat agar kompromi pada server web tidak menyebar ke aset penting lainnya.
