Pakar Soroti Bahaya PHP Usang di Situs Pemda dan Sekolah, Data Bisa Dicuri

Pakar keamanan siber Pratama Pershada menyoroti risiko celah keamanan pada bahasa pemrograman PHP yang belakangan membuat sejumlah situs di berbagai negara tidak dapat diakses. Menurutnya, persoalan ini perlu menjadi perhatian serius bagi pengelola situs di Indonesia, terutama instansi pemerintah dan sekolah.

Pratama menilai risiko utama di Indonesia bukan semata-mata kemungkinan serangan massal, melainkan kesiapan pengelola sistem dalam mendeteksi dan memperbaiki kerentanan. Sebab, PHP dipakai oleh banyak situs instansi pemerintah pusat, pemerintah daerah, hingga sekolah. Namun, sebagian di antaranya masih berjalan dengan versi lama yang tidak lagi mendapat pembaruan keamanan, seperti PHP 7 atau bahkan PHP 5.6.

"Banyak (situs) yang masih (menggunakan) PHP 7 atau bahkan 5.6. Versi itu sudah tidak didukung lagi, jadi tidak akan pernah dapat tambalan. Itu bukan lagi soal bug, itu soal situs yang sudah lama tidak dirawat," kata Pratama kepada CNNIndonesia.com, Jumat (23/10).

Ia menjelaskan dampak celah keamanan PHP tidak hanya membuat situs tiba-tiba tidak bisa diakses. Jika server berhasil disusupi, data yang tersimpan di dalam basis data seperti nama, NIK, nomor telepon, kata sandi, hingga data transaksi berpotensi dicuri.

Sebelumnya, sejumlah situs pemerintah di Eropa dan beberapa wilayah tidak dapat diakses pada Rabu (21/10) setelah ditemukan celah keamanan kritis pada PHP. Celah tersebut ditemukan dengan bantuan kecerdasan buatan (AI). Sejumlah lembaga memilih menonaktifkan situs sebagai langkah pencegahan setelah muncul peringatan bahwa peretas mulai mengeksploitasi kerentanan itu.

Pratama menegaskan situs-situs di Eropa itu tidak tumbang akibat serangan peretas, melainkan karena lembaga terkait memilih menonaktifkan layanan sementara untuk mengurangi risiko eksploitasi. Kerentanan berada pada PHP, bukan pada WordPress atau plugin, sehingga situs yang dikelola baik pun tetap berpotensi terdampak bila server masih memakai PHP versi rentan.

Hingga Jumat (23/10) pagi, Pratama belum menemukan laporan resmi soal situs besar di Indonesia yang mematikan layanannya karena masalah ini. Dalam pemeriksaannya, layanan seperti pajak.go.id, dukcapil.kemendagri.go.id, dan bssn.go.id masih merespons normal. "Semuanya masih merespons normal, tidak ada indikasi pemadaman," ujarnya.

Meski begitu, Pratama menyoroti peringatan keamanan resmi dari Badan Siber dan Sandi Negara (BSSN). Menurutnya, respons terhadap ancaman semacam ini tidak cukup hanya mengandalkan imbauan. Perlu ada pendataan terhadap situs dan server instansi yang masih memakai PHP versi rentan, terutama di lingkungan pemerintah daerah dan sekolah yang dikelola vendor kecil atau satu orang staf TI merangkap.

"Ribuan situs pemda dan sekolah dikelola vendor kecil atau bahkan satu orang staf TI yang merangkap. Kelompok inilah yang paling mungkin belum tahu dan paling mungkin belum memperbarui," ungkap Pratama.

Untuk mitigasi, ia menyarankan pengelola situs segera memperbarui PHP ke versi lebih baru dan memuat ulang agar pembaruan diterapkan. Jika belum memungkinkan, akses server dari internet dapat dibatasi sementara. Pratama mengingatkan WordPress biasanya punya pembaruan otomatis, sedangkan PHP berada di lapisan server yang menjadi tanggung jawab pengelola hosting atau admin server.

Bagi masyarakat, Pratama mengimbau agar tidak langsung membuka email atau pesan berisi tautan yang meminta login ulang ke layanan pemerintah. Waspadai layanan yang tiba-tiba meminta data tidak wajar seperti foto KTP dan selfie tanpa verifikasi, serta pantau mutasi rekening dan email. Jika ada pemberitahuan perubahan kata sandi yang bukan dari pengguna, segera ganti kata sandi.