Jakarta (VLF) – Keamanan server web di Indonesia menjadi sorotan. Hasil pemindaian Vaksincom menemukan 69,6% kecocokan versi PHP yang terdeteksi masih menggunakan versi usang atau End of Life (EOL), sehingga tidak lagi mendapatkan pembaruan keamanan resmi dari pengembangnya.
PHP merupakan bahasa pemrograman yang banyak digunakan untuk menjalankan website dan aplikasi berbasis web. Penggunaan versi usang dapat meningkatkan risiko serangan siber, terutama jika celah keamanan tidak mendapatkan perbaikan.
Temuan ini muncul di tengah ancaman celah keamanan kritis PHP2Shell yang berpotensi memungkinkan peretas mengambil alih server dari jarak jauh tanpa perlu login terlebih dahulu.
Pengamat Keamanan Cyber dari Vaksincom, Alfons Tanujaya, mengungkapkan pemindaian pada 23 Oktober 2026 mendeteksi 89.193 host PHP aktif di Indonesia, dengan total 99.896 kecocokan versi layanan.
Dari jumlah tersebut, sebanyak 69.546 kecocokan atau 69,6% menggunakan PHP EOL. Sementara itu, hanya 226 kecocokan atau sekitar 0,2% yang teridentifikasi menggunakan versi dengan perbaikan keamanan.
Menurut Alfons, sekitar tujuh dari sepuluh kecocokan versi PHP yang terdeteksi dari internet menggunakan versi EOL. Kondisi ini menjadi perhatian serius, terutama pada sektor pemerintah dan perusahaan.
Ancaman PHP2Shell melibatkan dua celah keamanan, yakni CVE-2026-109618 dan CVE-2026-109619, dengan skor keparahan CVSS 9,2 dari maksimal 10.
Kerentanan tersebut berpotensi memungkinkan serangan remote code execution (RCE), yakni menjalankan kode berbahaya dari jarak jauh tanpa autentikasi. Jika berhasil dieksploitasi, penyerang dapat mengancam data dan layanan pada server terdampak.
Mengapa Server Pemerintah dan Perusahaan Rentan?
Server pemerintah dan perusahaan menjadi sorotan karena masing-masing mencatat 96,7% kecocokan versi PHP berstatus EOL berdasarkan pemindaian Vaksincom.
Pada sektor pemerintah (.go.id), sebanyak 1.621 dari 1.677 kecocokan versi PHP yang teridentifikasi menggunakan versi usang. Versi terbanyak adalah PHP 5.6.40, yang dukungan resminya telah berakhir sejak 2018.
Kondisi serupa terjadi pada perusahaan (.co.id). Sebanyak 4.495 dari 4.650 kecocokan versi PHP menggunakan versi EOL.
Sementara itu, penggunaan PHP EOL di perguruan tinggi (.ac.id) mencapai 88,7%, sedangkan sekolah (.sch.id) sebesar 69,9%.
Alfons menjelaskan, persoalannya bukan sekadar memperbarui perangkat lunak. Banyak organisasi masih menggunakan aplikasi lama atau legacy system yang membutuhkan perombakan kode agar kompatibel dengan PHP modern.
Bagaimana Cara Mengamankan Server PHP?
Menghadapi ancaman PHP2Shell, Alfons menyarankan administrator TI segera mengaudit versi PHP pada seluruh server, termasuk sistem internal.
Server yang masih menggunakan PHP versi didukung perlu diperbarui ke rilis dengan perbaikan keamanan. Sementara pengguna versi EOL harus menyiapkan migrasi bertahap.
Sebelum migrasi selesai, administrator disarankan memastikan ketersediaan backported patch, membatasi akses publik menggunakan WAF atau VPN, serta menonaktifkan layanan yang tidak diperlukan.
Vaksincom mengingatkan bahwa server dengan nomor versi lama belum tentu tidak terlindungi. Sejumlah distribusi Linux menerapkan patch keamanan tanpa mengubah nomor versi PHP.
Demi mencegah penyalahgunaan, Vaksincom tidak mempublikasikan daftar domain atau instansi yang terindikasi rentan. Informasi tersebut dikoordinasikan secara tertutup kepada pihak terkait, termasuk BSSN.
(Sumber:70% Versi PHP di Server Indonesia Usang, Pemerintah Disorot.)









