Jakarta | Pemindaian keamanan siber menemukan bahwa 69,6% kecocokan versi layanan PHP yang terdeteksi masih menggunakan versi end of life (EOL). Versi EOL tidak lagi menerima pembaruan keamanan resmi dari pengembang PHP. Temuan ini menunjukkan bahwa sebagian besar versi PHP yang berhasil diidentifikasi dalam pemindaian sudah melewati masa dukungan. Tanpa pembaruan resmi, kelemahan keamanan yang ditemukan setelah dukungan berakhir tidak akan diperbaiki melalui rilis keamanan reguler dari pengembang.
Pemindaian tersebut dilakukan oleh pengamat keamanan siber Vaksincom, Alfons Tanujaya, pada 23 Oktober 2026. Angka 69,6% merujuk pada kecocokan versi layanan PHP yang terdeteksi, sehingga perlu dibaca sesuai cakupan dan metode pemindaian yang digunakan. Meski demikian, tingginya proporsi versi EOL menjadi perhatian karena PHP digunakan secara luas untuk membangun dan menjalankan berbagai situs serta aplikasi berbasis web. Kondisi perangkat lunak yang telah berakhir dukungannya dapat menambah risiko bagi layanan yang tetap mengandalkannya.
PHP merupakan bahasa pemrograman yang digunakan pada beragam jenis situs, mulai dari toko daring dan portal berita hingga layanan pemerintahan. Pada situs-situs tersebut, PHP dapat menjadi bagian penting dari sistem yang menyajikan halaman, mengelola data, atau mendukung fungsi layanan kepada pengguna. Karena penggunaannya tersebar di berbagai sektor, status versi PHP bukan sekadar persoalan teknis bagi pengelola server. Pemeliharaan dan pembaruan perangkat lunak turut berkaitan dengan upaya menjaga keamanan sistem serta ketersediaan layanan.
Ketika versi yang dipakai sudah EOL, pengelola tidak lagi memperoleh perlindungan berupa perbaikan keamanan resmi untuk versi tersebut. Kerentanan yang muncul dapat dibiarkan tanpa tambalan dari pengembang, sehingga organisasi perlu menilai langkah mitigasi yang sesuai. Langkah yang lazim dipertimbangkan mencakup peningkatan ke versi PHP yang masih didukung, pengujian kompatibilitas aplikasi, serta pemantauan berkala atas konfigurasi server. Temuan pemindaian ini menjadi pengingat bahwa inventarisasi versi dan perencanaan pembaruan perlu menjadi bagian dari pengelolaan layanan web, terutama untuk sistem yang diakses publik dan menangani data atau transaksi pengguna.
Dua celah keamanan kritis yang dikaitkan dengan PHP2Shell menempatkan server PHP pada risiko serius. Ancaman utamanya adalah kemungkinan bagi peretas untuk mengambil alih server dari jarak jauh tanpa harus masuk menggunakan akun atau kredensial yang sah. Dengan demikian, sistem dapat terpapar serangan meskipun pihak yang tidak berwenang tidak memiliki akses resmi ke lingkungan server. Risiko ini perlu dipahami sebagai persoalan keamanan yang dapat berdampak langsung pada layanan dan informasi yang dikelola organisasi.
Jika celah tersebut berhasil dimanfaatkan, penyerang berpotensi memperoleh kendali atas server yang terdampak. Penguasaan ini dapat membuka jalan untuk menjangkau layanan dan sumber daya lain yang terhubung, termasuk basis data. Informasi yang tersimpan di dalamnya bisa mencakup data operasional maupun informasi sensitif milik organisasi atau penggunanya. Karena akses awal tidak bergantung pada proses login yang sah, mengandalkan kata sandi saja tidak cukup untuk meniadakan risiko yang timbul dari kerentanan perangkat lunak.
Dampaknya tidak terbatas pada gangguan teknis. Pencurian data dapat merugikan pengguna, mengganggu kegiatan bisnis, dan menimbulkan konsekuensi reputasi maupun kepatuhan bagi pengelola layanan. Kendali atas server juga dapat membuat pemulihan lebih sulit, terutama apabila organisasi tidak segera mengetahui adanya penyusupan atau tidak memiliki cadangan dan prosedur respons yang memadai. Karena itu, keberadaan dua celah kritis tersebut menuntut perhatian sebagai ancaman terhadap kerahasiaan data dan keandalan sistem.
Organisasi perlu menilai apakah server yang digunakan terdampak dan memastikan pengelolaan keamanannya dilakukan secara aktif. Pemantauan, pembaruan perangkat lunak yang didukung, pembatasan akses, serta kesiapan menangani insiden merupakan bagian penting dari upaya mengurangi risiko. Langkah-langkah tersebut tidak menghapus kerentanan secara otomatis, tetapi membantu memperkecil peluang penyalahgunaan dan membatasi dampaknya. Dalam konteks ini, server PHP yang dibiarkan tanpa dukungan keamanan dapat menjadi sasaran yang lebih rentan, sehingga pemeriksaan dan penanganan tidak sebaiknya ditunda.
Pemindaian terhadap layanan yang terlihat dari internet menemukan 89.193 host PHP aktif di Indonesia. Angka ini merujuk pada host, yaitu sistem yang teridentifikasi menjalankan layanan PHP, bukan jumlah versi yang berhasil dicocokkan. Dalam hasil pemindaian yang sama terdapat 99.896 kecocokan versi layanan. Perbedaan jumlah tersebut penting: satu host dapat menghasilkan lebih dari satu kecocokan versi, sehingga kedua angka itu tidak dapat dipertukarkan atau diperlakukan sebagai ukuran yang sama.
Dari 99.896 kecocokan versi layanan, sebanyak 69.546 diklasifikasikan sebagai PHP end-of-life (EOL), atau 69,6 persen. Versi EOL telah melewati masa dukungan resmi, sehingga tidak lagi memperoleh pembaruan keamanan rutin dari pengelola PHP. Sementara itu, hanya 226 kecocokan, sekitar 0,2 persen dari total, yang teridentifikasi menggunakan versi dengan perbaikan keamanan. Perbandingan ini menunjukkan bahwa bagian yang dapat dikenali sebagai versi berperbaikan keamanan sangat kecil dibandingkan kecocokan yang masuk kategori EOL.
Temuan tersebut berarti sekitar tujuh dari sepuluh server PHP di Indonesia yang terlihat dari internet tidak dapat ditambal melalui patch resmi untuk versi yang telah berakhir masa dukungannya. Organisasi yang masih menjalankan versi semacam ini umumnya perlu merencanakan peningkatan ke cabang PHP yang didukung, bukan sekadar menunggu pembaruan keamanan untuk versi lama. Namun, angka pemindaian menggambarkan layanan yang teramati pada saat pengukuran, bukan seluruh server di Indonesia. Hasil juga membedakan jumlah host dari kecocokan versi; karena itu, persentase 69,6 persen dan 0,2 persen dihitung berdasarkan 99.896 kecocokan, bukan 89.193 host. Pengelola sistem sebaiknya memeriksa inventaris dan konfigurasi internal masing-masing untuk memastikan versi yang digunakan serta menentukan prioritas pembaruan secara tepat.
Sektor pemerintahan dan perusahaan swasta tercatat sebagai kelompok dengan tingkat kerentanan tertinggi dalam penggunaan server PHP di Indonesia. Tingginya pemakaian versi yang sudah tidak memperoleh dukungan keamanan membuat banyak sistem di kedua sektor tersebut berisiko lebih besar ketika menghadapi ancaman digital. Temuan ini menyoroti bahwa persoalan versi usang bukan hanya terjadi pada sebagian kecil layanan, melainkan masih meluas di lingkungan yang mengelola beragam layanan dan informasi penting.
Alfons menyatakan bahwa hampir 97% server pada sektor pemerintah dan perusahaan swasta masih menggunakan versi PHP yang telah mencapai akhir masa dukungan atau end-of-life (EOL). Versi yang paling dominan adalah PHP 5.6.40. Dukungan untuk versi tersebut telah berakhir sejak akhir 2018, sehingga penggunaannya berlanjut tanpa pembaruan keamanan resmi dari pengembang PHP. Dengan demikian, celah yang ditemukan setelah masa dukungan berakhir tidak ditangani melalui pembaruan keamanan resmi untuk versi itu.
Angka tersebut menunjukkan jarak kebutuhan menjaga keamanan sistem dan kondisi perangkat lunak yang masih berjalan di lapangan. Ketika server tetap memakai versi EOL, pengelola perlu memperhatikan bahwa dukungan keamanan resmi sudah tidak tersedia, sementara layanan yang bergantung pada server tersebut tetap beroperasi. Bagi instansi pemerintah dan perusahaan, kondisi ini relevan karena gangguan atau eksploitasi pada server dapat berdampak pada layanan digital yang digunakan masyarakat, pegawai, pelanggan, maupun mitra. Namun, temuan persentase tersebut tidak dengan sendirinya menjelaskan penyebab setiap organisasi belum beralih, atau tingkat dampak yang dialami masing-masing server.
Alfons disebut memberikan rekomendasi terkait situasi ini, tetapi rincian langkah-langkahnya tidak tersedia dalam informasi yang dirujuk. Karena itu, tidak tepat untuk menyimpulkan tindakan tertentu atas nama Alfons.
Baca juga: Wujudkan Dukungan Pembangunan di Desa, Babinsa Hadiri Musrenbangdes | Tujuh Jenazah Tiba Melalui Jalur Udara, Lanud Sjamsudin Noor Teguhkan Dukungan SAR KM Virgo | Panen Padi Bersama Petani, Babinsa Perkuat Dukungan Terhadap Ketahanan Pangan
