Riset Vaksincom: 96,7 Persen Situs Pemerintah Pakai PHP Usang, Server Terancam Diambil Alih

Perusahaan keamanan siber Vaksincom merilis laporan pemetaan yang menyoroti kerentanan server di Indonesia akibat penggunaan PHP versi lama. Dari pemindaian terhadap server yang terhubung langsung ke internet per 23 Oktober 2026, terdeteksi 89.193 host PHP aktif dengan total 99.896 kecocokan versi.

Hasilnya, sebanyak 69,6 persen server masih menjalankan PHP versi End of Life (EOL) yang tidak lagi memperoleh pembaruan keamanan resmi dari pengembang. Sebanyak 30.124 kecocokan lainnya memakai versi yang masih didukung, tetapi belum menerapkan patch keamanan. Hanya 226 host atau 0,2 persen yang telah mengaplikasikan patch perbaikan terbaru.

Sektor pemerintahan dan korporasi menjadi kelompok paling rentan. Pada domain .go.id, tercatat 1.621 dari 1.677 host menggunakan PHP versi EOL atau setara 96,7 persen. Pola serupa ditemukan pada domain .co.id, dengan 4.495 dari 4.650 host memakai versi EOL. Kedua sektor ini paling banyak menggunakan PHP 5.6.40 yang masa dukungannya berakhir sejak 2018.

"Sektor pemerintahan dan korporasi memiliki tingkat kerentanan tertinggi terhadap ancaman ini karena tingginya penggunaan versi usang," kata pakar keamanan siber Vaksincom, Alfons Tanujaya, dalam keterangannya, Jumat (23/10).

Sektor pendidikan juga tak luput. Perguruan tinggi dengan domain .ac.id mencatat 439 dari 495 host memakai PHP EOL atau 88,7 persen, sementara sekolah berdomain .sch.id sebanyak 51 dari 73 host atau 69,9 persen. Kedua sektor ini dominan menggunakan PHP 7.4.33.

Laporan turut membeberkan daftar versi PHP terbanyak di Indonesia, mulai dari PHP 8.2.12, PHP 5.6.40, PHP 7.4.33, hingga PHP 7.2.14. Tujuh dari sepuluh versi tersebut berstatus EOL, sedangkan tiga versi lain masih rentan dan perlu diperbarui ke versi 8.2.35.

Menurut laporan, kerentanan ini memungkinkan penyerang siber mengambil alih server PHP secara penuh melalui eksekusi kode jarak jauh (remote code execution) tanpa memerlukan otentikasi atau login. Vaksincom menilai tantangan utama bukan sekadar pembaruan versi, melainkan kompatibilitas aplikasi warisan yang butuh perombakan kode agar berjalan pada PHP 8. Banyaknya temuan PHP 8.2.12 juga mengindikasikan server publik memakai paket instalasi lokal seperti XAMPP yang sebenarnya dirancang untuk tahap pengembangan.

Untuk mitigasi, Vaksincom merekomendasikan audit menyeluruh terhadap versi PHP di seluruh server organisasi, termasuk yang tidak terekspos langsung ke internet. Administrator diminta memperbarui ke rilis aman terbaru seperti 8.2.35, 8.3.36, 8.4.27, atau 8.5.12, serta merencanakan migrasi bertahap sistem EOL. Selama migrasi belum tuntas, disarankan membatasi eksposur publik melalui WAF atau VPN, menonaktifkan layanan tidak kritical, mengatur expose_php=off pada php.ini, dan menerapkan isolasi jaringan ketat agar kompromi pada server web tidak menyebar ke aset penting lainnya.