Mayoritas Website di RI Rentan Bug PHP2Shell, 69,6% Gak Bisa Di-patch Keamanan
PerbesarHampir tujuh dari 10 server PHP di Indonesia (69,6 persen) yang terhubung ke internet menjalankan versi yang sudah tidak mendapat pembaruan keamanan resmi. Temuan ini muncul dari hasil pemindaian terhadap paparan celah kritis PHP2Shell, yang dirilis Vaksincom pada 23 Oktober 2026.
PHP2Shell tercatat sebagai CVE-2026-109618 dan CVE-2026-109619 dengan skor keparahan CVSS 9,2. Celah ini memungkinkan penyerang mengambil alih server PHP sepenuhnya lewat eksekusi kode jarak jauh (remote code execution), tanpa perlu login atau otentikasi lebih dulu.
PHP telah memberikan update patch (tambalan) untuk memperbaiki celah keamanan yang timbul pada temuan terbaru. Meski demikian, pembaruan versi PHP terbaru bukan solusi yang mudah.
"Tantangan utama di lapangan bukan sekadar memperbarui versi, melainkan masalah kompatibilitas aplikasi warisan (legacy system) yang memerlukan perombakan kode agar dapat berjalan di lingkungan PHP 8 modern," kata Alfons dalam keterangan resminya yang diterima kumparanTEKNO, Senin (26/10).
Hanya 226 Server yang Sudah Di-patch
Dalam pemindaian per 23 Oktober 2026, Vaksincom mendeteksi 89.193 host PHP aktif di Indonesia. Dari 99.896 kecocokan versi, sebanyak 69.546 kecocokan atau 69,6 persen memakai PHP versi End of Life (EOL), yakni versi yang sudah dihentikan dukungannya oleh pengembang PHP.
Sebanyak 30.124 kecocokan lain memakai versi yang masih didukung, tetapi belum di-patch. Server yang sudah menerapkan perbaikan baru 226 kecocokan, atau 0,2 persen. Hanya 886 host yang terdeteksi memiliki proteksi WAF.
Daftar isi
Daftar isi
Daftar isi
Pemerintah dan perusahaan paling banyak
Porsi versi EOL tertinggi ada di sektor pemerintah dan perusahaan. Dari 1.677 server pemerintah (.go.id) yang versinya terbaca, 1.621 atau 96,7 persen memakai versi EOL. Angka yang sama tercatat di sektor perusahaan (.co.id): 4.495 dari 4.650 server. Di perguruan tinggi (.ac.id) porsinya 88,7 persen, dan di sekolah (.sch.id) 69,9 persen.
Versi yang paling banyak ditemukan di pemerintah dan perusahaan adalah PHP 5.6.40, yang masa dukungannya berakhir sejak akhir 2018. Di perguruan tinggi dan sekolah, yang terbanyak PHP 7.4.33.
Secara nasional, PHP 8.2.12 menjadi versi terbanyak dengan 8.988 kecocokan, disusul PHP 5.6.40 (6.598) dan PHP 7.4.33 (4.965). Tujuh dari sepuluh versi teratas berstatus EOL, sedangkan tiga lainnya adalah cabang 8.2 yang masih didukung tetapi perlu diperbarui ke 8.2.35.
Badan Siber dan Sandi Negara menyebut dalam Instagram resminya bahwa banyak website pemerintah yang menggunakan PHP versi lama.
"Tingginya angka temuan PHP 8.2.12 mengindikasikan banyak server publik diinstal menggunakan paket instalasi lokal instan seperti XAMPP. Paket ini sebenarnya dirancang khusus untuk tahap pengembangan (development), bukan untuk server produksi yang terbuka langsung ke internet," tutur Alfons.
Meski demikian perlu diperhatikan bahwa Vaksincom mencatat angka tersebut adalah jumlah kecocokan layanan web aktif. Sejumlah distribusi Linux menambal celah tanpa mengubah nomor versi (backporting), sehingga jumlah server yang sebenarnya terlindungi bisa lebih tinggi dari hasil deteksi.
Server di balik CDN atau reverse proxy seperti Cloudflare tidak ikut terdata. Daftar domain atau instansi yang rentan tidak dipublikasikan dan dikoordinasikan secara tertutup dengan BSSN atau pemilik infrastruktur terkait.
Rekomendasi Penanganan
Vaksincom menyarankan administrator TI mengaudit versi PHP di seluruh server, termasuk yang ada di intranet. Server pada cabang aktif perlu diperbarui ke rilis aman terbaru: 8.2.35, 8.3.36, 8.4.27, atau 8.5.12.
Langkah lain yang Alfons rekomendasikan ialah menyetel expose_php = Off di php.ini untuk menyulitkan pemindaian massal oleh botnet, meninjau log server terhadap error kehabisan memori (out of memory) yang berulang, serta menerapkan segmentasi jaringan agar kompromi satu server web tidak menjalar ke aset penting lain.
"Penanganan Sistem EOL (5.x s.d. 8.1): Rencanakan migrasi bertahap. Sebelum migrasi selesai, pastikan distro Linux menyediakan backported patch, batasi eksposur publik menggunakan WAF/VPN, serta nonaktifkan layanan yang tidak kritikal," tulis Alfons.