Sumbawanews.com,- Hasil pemindaian perusahaan keamanan siber Vaksincom per 23 Oktober 2026 menunjukkan bahwa 69,6 persen server berbasis PHP di Indonesia terancam diretas secara penuh oleh peretas. Ancaman ini berasal dari celah keamanan kritis bernama PHP2Shell dengan skor keparahan 9,2 dari 10, yang memungkinkan eksekusi kode jarak jauh tanpa memerlukan autentikasi. Dari 89.193 host aktif di internet Indonesia, sebanyak 69.546 di antaranya masih menggunakan versi PHP yang sudah berakhir masa dukungannya (End of Life), sehingga tidak menerima pembaruan keamanan resmi. Hanya 226 server—atau 0,2 persen—yang telah diperbarui dan aman dari ancaman ini.
Sektor pemerintah (.go.id) dan korporasi swasta (.co.id) menjadi yang paling rentan, dengan 96,7 persen server di kedua sektor tersebut masih bergantung pada versi PHP usang seperti 5.6.40 yang dukungannya dihentikan sejak akhir 2018. Institusi pendidikan juga tidak luput dari risiko: perguruan tinggi (.ac.id) mencatatkan 88,7 persen server EOL, sementara sekolah (.sch.id) sebesar 69,9 persen. Versi PHP terbanyak yang terdeteksi meliputi 8.2.12 (8.988 temuan), 5.6.40 (6.598 temuan), dan 7.4.33 (4.965 temuan), semua memerlukan pembaruan segera.
Pakar keamanan siber dari Vaksincom, Alfons Tanujaya, menilai akar masalah bukan hanya keengganan memperbarui sistem, melainkan ketergantungan pada aplikasi warisan yang tidak kompatibel dengan versi PHP modern. Ia juga menyoroti penggunaan paket instalasi seperti XAMPP yang seharusnya hanya untuk pengembangan, tetapi justru dipasang di server produksi yang terbuka ke internet.
Untuk mencegah serangan massal, pengelola TI diminta melakukan audit menyeluruh terhadap semua versi PHP, memperbarui ke rilis aman terbaru seperti 8.2.35, 8.3.36, 8.4.27, atau 8.5.12, serta mengisolasi sistem EOL dengan batasan akses ketat seperti WAF atau VPN. Selain itu, opsi expose_php = Off harus dimatikan pada konfigurasi php.ini untuk menyulitkan pemindaian otomatis oleh botnet, dan jaringan server web perlu dipisahkan dari sistem data kritis. Daftar instansi rentan tidak dipublikasikan dan telah dikoordinasikan secara tertutup dengan Badan Siber dan Sandi Negara.
